suretool 作为可被其他项目引用的 Java 工具库，将安全视为最高优先级。本文档说明受支持版本、漏洞上报渠道与响应承诺。
| 版本线 | 支持状态 |
|---|---|
| 1.x（当前主线） | ✅ 受支持（最新 1.10.x 为当前稳定线；1.11/1.12/1.13 窗口按批迭代中） |
| 0.x | ❌ 不受支持（已于 v1.0.0 结束，请升级到 1.x） |
安全修复策略：当前主线的最新小版本持续接收安全修复；高危问题按下方 SOP 发布补丁版本。
请勿在公开 issue 中披露漏洞细节。 请通过以下任一渠道私密上报：
https://github.com/TASure/suretool/security/advisories/new（”Report a vulnerability”）上报时请尽量包含：
sure-core 0.1.0）| 阶段 | 时限 |
|---|---|
| 确认收到 | 24 小时内 |
| 严重性评估与修复计划 | 72 小时内 |
| 高危/严重漏洞修复版本 | 确认后 14 天内 |
| 修复公告 | 版本发布时同步披露（含 CVE 编号如适用） |
@deprecated（仅兼容旧系统解密）。pom.xml 的 dependencyManagement；测试日志后端使用已修复 log4j 2.25.4+。sure-core）零第三方运行期依赖，攻击面最小化。sure-poi 基于 Apache POI），并固定版本、随 Dependabot 更新。mvn verify 全量门禁（Checkstyle / SpotBugs / JaCoCo / License 头）。安全更新随版本发布同步说明（GitHub Releases + CHANGELOG）。
当 Dependabot / CodeQL / 安全公告触发漏洞告警时，维护者按以下顺序处置：
| 步骤 | 动作 | 时限 |
|---|---|---|
| 1 | 确认影响面：该依赖是否进入运行期制品（区分 compile / test / optional 作用域） | 24h |
| 2 | 评估可利用性：结合 suretool 调用链判断是否可达（加密 / HTTP / 输入解析面优先） | 24h |
| 3 | 修复：升级到修复版本或移除受影响依赖；API 变化时同步更新模块与文档 | 48h |
| 4 | 回归：mvn verify 全量门禁（Checkstyle / SpotBugs / JaCoCo / License） |
修复后立即 |
| 5 | 发布：按 RELEASING.md 发布补丁版本 | 高危 7 天内 |
| 6 | 披露：GitHub Release + CHANGELOG +（如适用）CVE 引用 | 发布时同步 |
测试 / 可选作用域依赖告警可降级处理，但须在对应 PR 中注明”不受影响”的理由，便于审计。
security-and-quality 查询集），告警须在合入前清零；