# 安全策略

<div align="center">

**Translations:** [English](../../../SECURITY.md) · [Français](../fr/SECURITY.md) · [Deutsch](../de/SECURITY.md) · **简体中文** · [日本語](../ja/SECURITY.md) · [Русский](../ru/SECURITY.md) · [עברית](../he/SECURITY.md) · [한국어](../ko/SECURITY.md) · [Español](../es/SECURITY.md) · [Português](../pt/SECURITY.md) · [Türkçe](../tr/SECURITY.md) · [Tiếng Việt](../vi/SECURITY.md) · [Italiano](../it/SECURITY.md)

</div>

## 报告漏洞

我们高度重视安全漏洞，并感谢你为负责任地披露所发现问题所做的努力。

### 如何报告

**请勿为安全漏洞创建公开的 GitHub issue。**

请改为通过电子邮件报告安全漏洞：**abhishek@pipeshub.com**

### 应包含的内容

报告漏洞时，请包含以下内容：

- 漏洞描述
- 复现问题的步骤
- 潜在影响评估
- 建议的修复方案（如有）
- 用于后续跟进的联系方式

### 你可以期待什么

- **初步响应**：我们将在 48 小时内确认收到你的报告
- **评估**：我们将在 5 个工作日内提供初步评估
- **更新**：在问题解决之前，我们将每 7 天发送一次进展更新
- **解决**：我们力争在 30 天内解决严重漏洞
- **致谢**：我们将在安全公告中致谢你的贡献（除非你希望保持匿名）

### 披露时间线

- **第 0 天**：报告漏洞
- **第 1–2 天**：初步确认
- **第 1–5 天**：初步分类与影响评估
- **第 1–30 天**：开发并测试修复方案
- **第 30 天及以后**：在修复部署后公开披露，通常在初次报告后 90 天内。

### 漏洞评估

我们使用以下标准对漏洞进行分级：

- **严重（Critical）**：对用户数据或系统完整性构成直接威胁
- **高（High）**：具有重大安全影响且涉及广泛用户
- **中（Medium）**：具有中等安全影响且影响范围有限
- **低（Low）**：影响极小的轻微安全问题

### 安全最佳实践

在为本项目贡献时：

- 保持依赖项为最新版本
- 遵循安全编码实践
- 验证所有用户输入
- 使用恰当的身份验证与授权
- 为安全事件实施日志记录
- 鼓励进行定期安全测试

### 适用范围

本安全策略适用于：

- 主应用程序代码
- 官方 Docker 镜像
- 可能影响安全的文档
- 我们直接维护的依赖项

### 不适用范围

以下情况通常不被视为安全漏洞：

- 第三方依赖项中的问题（请报告给相应的维护者）
- 社会工程攻击
- 物理安全问题
- 在没有放大效应的情况下通过资源耗尽造成的拒绝服务

### 安全港

我们为符合以下条件的安全研究人员提供安全港保护：

- 真诚努力避免侵犯隐私和中断服务
- 仅与你拥有的账户或经明确许可的账户进行交互
- 不访问或修改其他用户的数据
- 及时报告漏洞
- 在漏洞解决之前不公开披露

### 联系方式

如对本安全策略有任何疑问，请联系：security@pipeshub.com

---

*本安全策略可能会发生变更。请定期回来查看更新。*
