Source Review原始碼審閱
PASS 通過
非逐檔審閱(全樹 5,740 追蹤檔,git ls-tree 於證據 commit 實數),查核方式如下並如實記錄範圍:(1) server/collector 樣式掃描 —— eval( 0 件、全部 package.json 的 postinstall 0 件;(2)server / collector 內的 child_process 逐一人工看過:ffmpeg 偵測(execSync which ffmpeg)、git rev-parse HEAD、@vscode/ripgrep 檔案搜尋 ×2、MCP hypervisor —— 最後者上游自註「MCP is basically arbitrary code execution」,屬功能面(執行買家自行設定的 MCP server),預設未設定即不觸發;(3) 我方加工檔逐行(quickstart compose / .env.example / QUICKSTART / LICENSE-99LL);(4) 上游為公開 repo,SECURITY.md 在(vendor 為 SECURITY.upstream.md)。