请不要在公开 Issue 中披露安全问题。请通过 GitHub 的 私密漏洞报告 提交，并附上：
- 影响版本、平台与复现步骤；
- 预期影响（例如：本地提权、凭据泄露、命令注入）；
- 可行的修复建议（如有）。
我们会在 7 天内确认，并在修复后致谢（如你愿意）。
| 面 | 措施 |
|---|---|
| 凭据存储 | AES-256-GCM + 机器绑定密钥；文件 0600；密码不进入命令行参数 |
| 临时敏感文件 | fdu-connect config.toml 与 mihomo 配置（含 SSH 凭据）在启动完成后覆盖删除，仅保留于进程内存 |
| 云端 | 无账号体系、无遥测、无凭据上传；网络请求仅限订阅/规则集/VPN/SSH 目标 |
| 特权 helper | 仅监听回环、令牌常量时间比较、固定命令集、固定核心路径、配置/资源写入路径白名单 |
| 子进程 | 参数数组传递、超时、日志脱敏；不执行 shell 拼接（Windows 提权除外，使用白名单参数） |
| 渲染进程 | capabilities 最小化；前端不直接访问文件系统/子进程 |
| 隐私 | 订阅 token 在日志/诊断包中脱敏；除订阅、规则集、用户配置的 VPN/SSH 目标外不发起网络请求 |
| 依赖 | 定期更新；CI 三平台构建；不打包 AGPL 组件 |
- 用户主动导出/分享的配置与日志（导出前已脱敏，但请自行检查）。
- 用户自行修改的 mihomo 配置或第三方 sidecar 二进制。