# Security Policy

## 支持版本

以下版本目前接受安全更新：

| Version | Supported          |
| ------- | ------------------ |
| 1.0.x   | :white_check_mark: |
| < 1.0   | :x:                |

## 报告漏洞

Skill Hub 团队非常重视安全问题。如果你发现了安全漏洞，请**不要**通过公开的 Issue 报告。

### 报告流程

1. **发送邮件**至：security@skillhub.proclaw.cc
2. **包含详细信息**：
   - 漏洞类型和描述
   - 复现步骤
   - 潜在影响
   - 可能的修复建议（如果有）

3. **等待回复**：我们会在 48 小时内确认收到你的报告

### 负责任的披露

我们遵循负责任的披露原则：

1. 你私下报告漏洞
2. 我们确认并评估漏洞
3. 我们开发并测试修复方案
4. 我们发布安全更新
5. 公开披露漏洞详情（在修复后）

### 奖励计划

目前我们没有正式的漏洞赏金计划，但我们会：

- 在安全公告中感谢报告者（如果你愿意）
- 优先考虑严重的安全问题
- 快速响应和修复

## 安全最佳实践

### 部署安全

- 使用 HTTPS
- 定期更新依赖
- 配置防火墙规则
- 启用数据库加密
- 定期备份数据

### 开发安全

- 不在代码中硬编码密钥
- 使用环境变量管理敏感信息
- 定期审计依赖包
- 遵循最小权限原则

### 用户数据安全

- 密码使用 bcrypt 加密
- API 密钥妥善存储
- 实施速率限制
- 启用 CORS 保护
- 验证所有用户输入

## 已知安全问题

我们会在 GitHub Security Advisories 中公布已知的安全问题和修复状态。

## 联系方式

- **安全邮箱**: security@skillhub.proclaw.cc
- **一般咨询**: hello@skillhub.proclaw.cc

---

**注意**：请勿通过公开的 GitHub Issues、Discussions 或社交媒体报告安全问题。
