越方便的工具，越需要清楚的数据、权限和发布边界。
不要把密钥放进页面和问题描述
API Key、账号密码和带有访问令牌的链接，都不应出现在公开文章、截图、浏览器前端或代码仓库中。反馈问题前，先对日志和配置做脱敏。
如果怀疑凭据已经泄露，应先通过对应服务停用与轮换，再排查传播范围。仅删除页面上的显示，不能让已经泄露的凭据重新变得安全。
确认工具与依赖的来源
安装客户端、插件和脚本时，优先使用官方渠道与可信的软件包来源，核对版本和维护状态。来源不明的配置导入链接或压缩包，可能修改账号和服务设置。
配置前保留备份，理解每项权限的用途。不要为了让某个工具运行，就关闭安全保护、覆盖认证资料或向陌生服务提交密钥。
发布前检查代码与内容
生成代码需要测试输入、权限、异常和依赖；生成文案需要核实事实、费用与承诺；生成图片和音视频需要检查版权、人物授权和使用限制。
不要因为内容由 AI 生成就跳过审阅。涉及人像、声音或客户资料时，确认适当授权与处理边界，避免未经同意制作误导性内容。
预览环境与公开环境分开
本机预览适合检查页面，但不具备正式部署所需的全部条件。公开后台前，应确认 HTTPS、管理员身份、会话保护、访问限制、存储和备份。
源码备份不应包含密码文件、认证配置或运行日志中的凭据。恢复网站时，也应先检查是否误带了旧账号或不再需要的访问权限。
发现问题时如何提供有效线索
记录发生时间、页面或功能位置、操作步骤、预期与实际结果，以及必要的脱敏日志。不要继续扩大访问范围，也不要下载无权查看的数据。
安全问题请通过公司确认的渠道反馈；当前联系资料仍待完善。本文提供通用实践，不代表授予安全测试权限，也不是已完成认证或审计的证明。