协同披露

发现未修复漏洞：先私下通知厂商（邮件/issue），给默认 90 天修复窗口；到期未修复才公开判决卡。公开内容只陈述可复现技术事实与 PoC，不提供针对特定厂商的攻击用法。