安全政策

维刻 Vex 仍处于开发阶段。安全修复优先进入 main 和后续版本，目前没有长期维护分支，不承诺向历史 0.x 版本回移修复。

报告问题

不要在公开 Issue 中披露可利用的漏洞、令牌、证书、用户文档或敏感路径。优先使用本仓库 GitHub Security 页面中的私密漏洞报告入口；如果入口未启用，请通过维护者在 仓库首页 中列出的公开联系方式私下联系，请求安全报告渠道。

请提供受影响的版本、操作系统、最小复现步骤、预期与实际结果，以及经过脱敏的日志。涉及文件系统或网络边界时，使用专门创建的测试文档，不上传真实笔记、私钥或完整配置文件。维护者确认并提供修复方案前，请勿公开利用细节。

当前边界

• 文档和图片可能包含不可信内容。MCP、链接、外部图片、导出和文件操作均需要独立检查，不把 Markdown 解析成功视为内容可信。
• MCP 默认关闭，仅绑定本机回环地址，要求访问令牌；写操作有确认与文件范围限制。它不是对同一系统账户下恶意程序的安全隔离，令牌应视为敏感凭据。
• 当前开发分支 MCP 令牌通过平台安全存储保存，不写普通偏好；凭据存取或回读失败时不启动服务，不回退到明文。历史 v0.3.1 的令牌仍随本地偏好保存。客户端配置和剪贴板仍会含令牌，不要共享整个配置目录，敏感环境应关闭服务或定期轮换令牌。使用与验证范围见 MCP 文档。
• 签名材料只放在本机忽略目录或 GitHub Actions Secrets，不进入 Git、截图、日志或 CI artifacts。泄露后应立即撤销、轮换，并评估历史发布物。
• iOS 与 HarmonyOS 未具备正式分发条件，不提供规避系统签名校验的安装方式。

这些边界是现有实现与使用限制的说明，不代表已完成独立安全审计。