如果你发现凭据泄露、数据源调用风险、依赖供应链问题或其他安全漏洞，请不要公开提交 issue。请发送邮件至：

arthur@lovefree.ai

邮件中建议包含：

• 受影响的版本或提交
• 复现步骤
• 影响范围
• 建议修复方式

• 不要把真实 Tushare token、QMT 账号或其他 API key 写入仓库。
• 推荐使用根目录 .env 文件配置 TUSHARE_TOKEN，或在 CI 中使用系统环境变量覆盖默认配置。
• config.json 中保留的 Tushare 值仅作为已吊销 demo key，用于展示配置结构。

仓库内保留部分第三方运行库以降低版本漂移。使用者需要自行确认相关组件在自身场景中的许可证、服务条款和合规要求。