如果你发现了安全问题，请不要公开提交 Issue。请通过对应仓库的 Security → Report a vulnerability（GitHub 私密漏洞报告）提交，内容尽量包括：

• 受影响的仓库与版本 / commit
• 问题描述与可能的影响
• 复现步骤或概念验证

我们会尽快确认收到并评估，修复发布后会在公告中致谢（除非你希望匿名）。

open-wxa 的工具主要用于本地开发和测试环境。例如 wxa-runner 的开发服务器包含一个转发任意请求的网络代理， 默认只监听本机地址；如果你把它暴露到公网或不受信任的网络，请自行评估风险。这类按设计工作的行为不视为漏洞， 但如果默认配置会在用户不知情的情况下造成风险，欢迎报告。

微信基础库、编译器、开发者工具本身的安全问题，请直接向腾讯反馈。