安全
DevDuo 是实验性本地开发工具，目前开发版本未建立安全支持期限或生产加固承诺。
测量接收器是未认证的 HTTP 开发服务，应保持默认 loopback 绑定。显式绑定可达网卡会将记录端点暴露给所在网络；不要作为公共服务，也不要提交密钥。端点接收测量 JSON，不执行远程 shell 命令。桌面原生浏览器会访问用户选择的内容，并保留真实引擎行为。
SDK、浏览器及 WebView2 Runtime 应通过正常渠道更新。项目依赖由锁文件解析。构建和公开文件检查不能证明任意页面或第三方运行时安全。
敏感漏洞报告优先使用仓库已启用的私密漏洞报告功能；如果不可用，可先公开询问私密联系方式，不附利用细节、凭证或私人浏览记录。普通非敏感问题应包含通用平台/运行时信息及可复现步骤，并移除模拟器标识与个人路径。