API 密钥、访问令牌、私钥、环境密钥文件、加密凭据及其解密材料；文献资料包（含 .aresearch）、PDF、科研数据库、提取结果、私人表格、原图、聊天/操作历史、Zotero 数据、备份和未审计安装包。
禁传范围包括 Git 的所有提交及标签，也包括 Issue/PR 正文与附件、Actions 日志和制品、Release、Wiki 和 Pages。密文、压缩文件或私有仓库都不能代替正确的数据隔离。
- 只用合成样例复现问题，截图不得包含真实研究内容、账号、路径或凭据。
- 提交前执行
python scripts/check_repository.py；对发布历史执行python scripts/audit_public_history.py。失败时先移除敏感内容，不扩大例外列表掩盖问题。 - 凭据测试只允许逐路径、逐值哈希登记的人工假值；生产密钥绝不加入例外。
- App 图标等明确审核的二进制按内容哈希允许；其余二进制数据默认禁止。
- CI 不配置真实 AI API Secret，不默认执行付费请求或发布安装包。仅保留最小 GitHub 权限。
- 文献和 API 凭据留在用户工作区/平台受保护存储，不能复制进源码目录、构建资源或开发归档。
模式扫描不能证明绝无泄漏。公开前还须审阅作者信息、提交说明、全部引用、附件和二进制内容。
不要在公开 Issue 中粘贴密钥或研究材料。使用 GitHub 私密漏洞报告渠道（仓库启用时）联系维护者，仅描述影响和复现步骤。若密钥曾暴露，应立即在提供商处撤销并重新配置；删除 Git 文件并不会使旧密钥失效。