JunoZ-DEVandClaude Fable 5.1
c9766d5495
- /oauth/reg 动态注册按来源 IP 限流；未产生授权的 Client 记录 24 小时后由 现有维护任务清理 - 限流键哈希、本地存储 URL 签名、分页游标签名改用 HKDF 从 JWT_SECRET 派生的 用途隔离密钥 - 新增 POST /api/auth/logout-all 与账户中心"退出所有设备" - 密码上限 32 位放宽到 128 位；生产构建缺少 publicCompliance.local.json 时警告 - SECURITY.md 补充裸机 HOST 绑定与支付回调来源白名单说明 - CI 增加 workflow_dispatch 参数：只跑指定 e2e 用例、可包含被隔离用例以拿 trace Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
1.6 KiB
1.6 KiB
安全政策
报告漏洞
请不要在公开 issue、PR 或讨论里披露安全问题。
把漏洞详情发到 orylite@outlook.com，邮件标题以 [Lindyson Security] 开头，内容尽量包含：
- 受影响的版本或提交；
- 复现步骤、请求示例或 PoC；
- 影响范围和你的评估。
我们会在 3 个工作日内 回复确认，在 30 天内 给出修复计划或说明。修复发布前请保密；我们会在发布说明中致谢报告者（除非你不希望署名）。
支持的版本
只对 main 分支最新提交和最近一个 release 提供安全修复。
自托管安全提醒
JWT_SECRET、MCP_OAUTH_SECRET、MCP_FILE_ENCRYPTION_KEY、REAL_PORTRAIT_TOKEN_ENCRYPTION_KEY、PAYMENT_CONFIG_ENCRYPTION_KEY必须是强随机值，不要用示例值。- API 只监听本机回环地址，通过反向代理暴露；
TRUST_PROXY只填反向代理的地址/CIDR 或跳数，API 端口可直连时不要设为true。 - 容器镜像以非 root 用户
node运行，不要在部署时改回 root。 - 不用容器直接跑 API 时，把
HOST设为127.0.0.1，不要让 API 端口直接暴露在公网网卡上。 - 支付回调
/api/payments/notify与/api/payments/refunds/notify只应接受支付网关的来源 IP，在反向代理层加白名单；支付通道的apiKey泄露即可伪造回调，请纳入定期轮换。 - 用
docker-compose.yml部署时务必设置POSTGRES_PASSWORD；公网只开放 web 的端口，API 端口只绑定本机。 - 不要把
.env、publicCompliance.local.json或任何密钥提交到版本库。