RootSlots 是完全离线的 Android 单机应用:

• 无 INTERNET 权限、无后端、无账号体系
• 全部数据(词库/学习进度/战书)保存在设备本地(Room + DataStore)
• 好友对战通过战书码离线传递(文本/二维码),不经任何服务器

因此不存在"服务端被攻破""数据在传输中泄露"一类风险面。 潜在关注点主要是:导入解析类代码的健壮性(战书码/二维码解析)、 本地文件读写(二维码存相册)。

请不要在公开 Issue 中披露未修复的漏洞细节,改用以下任一方式:

1. GitHub 仓库页 → Security → Report a vulnerability(私有安全通告),或
2. 通过 @amazing1102 联系维护者

建议包含:复现步骤、受影响版本、构造的输入样本(如畸形战书码)。

• 战书/回执码以 CRC32 校验和防手滑损坏,不防恶意篡改—— 威胁模型是朋友间对战;HMAC 签名需要离线密钥协商机制,暂未实现 (见 好友PK-异步战书-设计方案.md §3)
• 二维码保存在系统相册(MediaStore),任何有相册读取权限的应用可见—— 码内不含个人信息,仅含昵称、题目与成绩