MPider 当前工作台在本机通过 Frida 观察已登录微信并保存会话材料。它不需要安装根证书或修改系统代理；历史代理/getmsg 实现仍保留在源码中，调用旧入口时另有证书与系统代理风险。

请通过 GitHub 的 私密漏洞报告 联系维护者，不要在公开 Issue 中提交利用细节或敏感材料。

建议说明受影响版本、可复现步骤、预期与实际行为，优先使用虚构数据。以下情况属于安全问题：

• 会话密钥、原始游标或协议载荷出现在普通 IPC、日志、截图或导出中。
• DPAPI 文件、数据库或本地文件读取存在越权、路径穿越或不当权限。
• 离线阅读意外执行文章脚本、事件处理器或加载不应请求的远程资源。
• 第三方页面、外部链接或旧版代理/上报功能造成任意命令执行、凭证泄露或代理残留。

当前工作台不自动把采集数据、诊断日志或崩溃报告上传给维护者。采集仍会请求微信服务与图片来源；外部链接由系统浏览器打开，随后适用目标网站的隐私政策。历史代码中的可选上报与通知若被自行启用，会按配置向接收方发送数据，使用前应单独审查。

会话密钥、原始游标和原始协议证据以当前 Windows 用户 DPAPI 保护，不能直接跨用户复用。DPAPI 不防御同一用户权限下的恶意进程。数据库中的文章元数据、本地正文、图片、日志和普通导出并非全部加密；请保护设备、备份与目录访问权限。

公开反馈前检查并脱敏，仅提供必要的日志片段。不要上传数据库、workbench/private/、会话 vault、原始抓包、真实协议响应、token 或带身份信息的截图；不要因为文件“已加密”就公开上传。

本次 Windows 工作台仅验证微信 4.1.15.56 x64。版本指纹不符必须停止；构建成功不等于采集成功。Frida 附加已有微信退出记录，频率控制也不能保证免验证、免限制或账号安全。旧 getmsg 列表接口已失效，不提供其可用性保证。