私下向项目维护者报告漏洞。在修复可用之前，不要为可利用的安全缺陷开公开 issue。

默认策略是支持当前 main 分支，除非项目发布带独立支持表的版本化 release。

• 优先选择小而维护良好的依赖。
• 记录依赖来源与更新流程。
• 使用 Dependabot 或等效流程更新 GitHub Actions。
• 未经维护者批准，不要 vendor 大型依赖。
• 依赖更新后运行相关测试。

GitHub Actions 更新时，在 CI 中验证受影响的工作流。构建或工具链依赖变更时， 运行 docs/guides/cmake.md 中描述的相关 preset 与冒烟测试。