目前支援安全更新的版本：

如果您發現安全漏洞，請不要在公開的 GitHub Issues 中報告。

1. Email：請發送郵件至專案維護者（透過 GitHub profile 取得聯絡方式）
2. GitHub Private Vulnerability Reporting：使用 GitHub 的私人漏洞報告功能

請在報告中包含以下資訊：

• 漏洞類型（例如：XSS、SQL Injection、路徑遍歷等）
• 受影響的檔案路徑或功能
• 重現步驟
• 潛在影響評估
• 建議的修復方式（如果有）

• 確認收到：48 小時內
• 初步評估：7 天內
• 修復時程：依嚴重程度而定
  • 嚴重 (Critical)：盡快修復
  • 高 (High)：14 天內
  • 中 (Medium)：30 天內
  • 低 (Low)：下一個版本

安全修復將會：

1. 在 CHANGELOG.md 中註明（不揭露具體細節）
2. 透過 GitHub Release 發布
3. 在修復發布後才公開漏洞詳情

使用 OpenAver 時，建議：

1. 保持更新：使用最新版本
2. 本地執行：OpenAver 設計為本地工具，請勿暴露在公共網路
3. 防火牆：如果在網路環境執行，確保適當的防火牆設定
4. Ollama API：如果使用 AI 翻譯功能，確保 Ollama 服務僅供本地存取

• OpenAver 是本地應用程式，預設綁定 127.0.0.1:8000（僅本機可連）
• **用桌面版（打包後的 OpenAver）**要讓同網段的手機／其他電腦連進來：設定頁右上角的 「單機 ｜ 伺服器」膠囊切到「伺服器」。這是明確的 opt-in，預設是「單機」，切過去才會 額外監聽區網介面，切回「單機」立即關閉對外
• 從原始碼用 run.sh 跑（開發模式）：「伺服器」膠囊在這個程序裡不會生效——區網 listener 只在打包桌面版的啟動流程（windows/standalone.py）裡被接線，run.sh 直接 跑 uvicorn web.app:app，切換時會回「無法啟動 LAN 伺服器」。開發時若確實需要從別的 裝置連入，請自己明確加上 --host 0.0.0.0（uvicorn web.app:app --reload --reload-include 'locales/*.json' --host 0.0.0.0 --port 8000）， 並清楚知道這會把服務暴露在所有網路介面上、且本程式不設帳號密碼——僅限你完全信任 的網路環境。這裡的差別是「預設安全、要暴露得自己明講」，不是「不准暴露」
• 圖片代理功能會向外部網站發送請求
• 設定檔儲存在本地 config.json，請勿上傳至公開環境

感謝您幫助我們保持 OpenAver 的安全！