负责任披露通常包括发现者私下联系厂商、给予 90 天修复窗口、双方协调公开时间。