BookmarkWall 是本地优先的浏览器扩展，但它会接触用户书签、网页截图和可选 AI 配置，因此安全问题请谨慎报告。

当前主要维护 main 分支和最新发布版本。旧版本如果已经不在维护范围内，建议先升级到最新版本再验证问题是否仍存在。

如果你发现以下问题，请优先使用 GitHub 的 Private Vulnerability Reporting 或 Security Advisory 功能报告：

• 未经用户授权读取或发送书签数据
• 截图授权绕过
• API Key 泄露或被写入不安全位置
• 可导致任意脚本执行的 XSS / HTML 注入
• 远程资源加载导致的供应链风险
• 破坏书签数据且无法撤销的问题

如果仓库暂未开启私密安全报告，请先提交一个不包含利用细节和隐私数据的 issue，说明你希望私下沟通安全问题。

• 真实 API Key、访问令牌或 Cookie
• 完整个人书签导出文件
• 包含隐私网址的截图
• 可直接复制执行的完整漏洞利用代码

• 默认不启用 AI，也不向开发者服务器上传数据。
• 首次打开必须先展示引导，确认前不读取完整书签树、不访问网页、不启动截图队列。
• 真实截图只在用户明确授权后运行，并且可以停止。
• 书签整理前提供 HTML / JSON 备份入口。
• 扩展运行时不依赖远程脚本、远程字体或远程图标库。