本项目处理的安全面：本工具全程只读访问本地 ~/.zcode/cli/db/db.sqlite 与 ZCode 安装目录的 app.asar（修改 asar 属安装期显式行为），本地统计数据不出本机。会联网的三条链路：套餐额度查询（默认开启，⚙ 面板可关）在内存中解密宿主 OAuth 凭据后直连 bigmodel.cn / api.z.ai 等各厂商官方域（或用户配置的中转站本域）的用量端点；插件更新从已配置来源下载代码；SSH/WSL 远端查询走用户自行配置的连接通道。凭据只在内存使用，不写入配置、日志或诊断，也不发往白名单之外的任何域。

请勿在公开 issue 中描述漏洞。使用 GitHub 的"私密漏洞上报"（仓库 Security 标签 → Report a vulnerability）或通过本仓库主页联系维护者。

• 本项目以非官方方式修改 ZCode 客户端 asar（README"已知限制"有说明），请始终从官方发布渠道获取 ZCode 本体。
• config.json 含本机路径，已在 .gitignore 中排除，请勿提交。