xiong-an-due-diligence

未发现明确的恶意行为、凭据窃取、数据外泄、反向 shell、持久化、破坏文件或挖矿逻辑。存在两个实际安全问题：company 参与文件名拼接导致潜在路径穿越，以及多个命令行输入未经 HTML 转义导致生成报告中的潜在存储型 XSS。应对文件名使用安全化后的 basename/白名单字符，对所有插入 HTML 的值使用 html.escape，并考虑固定或自带 ECharts 依赖及校验末尾语法。