# 安全政策

## 报告安全漏洞

我们非常重视 TrumanWorld 的安全性。如果你发现任何安全漏洞，请负责任地披露。

### 如何报告

请通过以下方式报告安全漏洞：

1. **不要** 在公开 issue 中披露安全漏洞
2. 通过 GitHub 的 [Private Vulnerability Reporting](https://github.com/gqy20/TrumanWorld/security/advisories/new) 功能提交漏洞报告
3. 或者发送邮件至 **qingyu_ge@foxmail.com**

### 报告内容

为了帮助我们更好地理解并修复漏洞，请尽可能提供以下信息：

- 漏洞类型描述
- 受影响的文件和代码位置
- 完整的复现步骤
- 漏洞利用的概念验证（如可能）
- 潜在影响的说明
- 建议的修复方案（如可能）

### 响应流程

1. 我们将在 **48 小时** 内确认收到你的报告
2. 我们将评估漏洞并确定其严重程度
3. 我们将在 **7 天** 内提供修复计划和时间表
4. 修复后，我们将通知你并公开发布安全公告

### 披露政策

我们请求你在漏洞被修复和公开披露之前，不要与任何人讨论该漏洞。

一旦漏洞被修复，我们将：

- 在 CHANGELOG 中发布安全公告
- 在 GitHub Releases 中标记安全更新
- 在可能的情况下，感谢报告者的贡献

## 支持版本

以下版本目前接受安全更新：

| 版本 | 支持状态 |
|------|----------|
| latest (main) | ✅ 支持 |
| v1.x.x | ✅ 支持 |

## 安全最佳实践

### 开发者注意事项

- 永远不要提交包含敏感信息（API 密钥、密码、令牌）的代码
- 所有用户输入都应进行验证和转义
- 使用参数化查询防止 SQL 注入
- 遵循最小权限原则
- 保持依赖项为最新版本

## 致谢

我们感谢所有负责任地报告安全漏洞的社区成员。
