SECURITY.zh-CN.md

安全策略

中文 | English

这份文件是给谁看的

这份文件主要给两类人看：

• 想自己部署并长期自用的人
• 想把自己的改动再次公开发布的人

如果你只是想“尽量安全地自己用”，请先记住下面三条：

1. 只让应用监听 127.0.0.1
2. 优先走 Tailscale 这类私网，不要直接裸露公网
3. 新设备第一次登录必须经过电脑端批准

支持的部署模型

推荐部署方式：

• 应用只监听 127.0.0.1
• 前面加一层反向代理
• 优先走私网访问，推荐 Tailscale
• 新手机首次登录需要桌面端批准

这也是本项目文档和脚本默认围绕的模型。
如果你主动改成公网开放、多用户或无人审批模式，就已经超出本仓库默认的安全边界了。

不推荐做法

以下做法不属于安全默认模型：

• 将 Node 应用直接暴露到公网
• 在未重新审计信任模型前关闭 hardened mode
• 把数据库、日志、构建产物提交到 git
• 在 .env、文档或脚本里写入真实 secret

Secret 处理规则

绝对不要提交：

• 认证数据库
• JWT secret
• 私钥
• 绑定你个人 tailnet 的真实域名
• 含 token 或用户流量信息的日志

如果你打算公开发布，请在发版前再检查一次：

• scripts/check-open-source-tree.ps1
• docs/OPEN_SOURCE_RELEASE_CHECKLIST.zh-CN.md

如果旧版私有构建曾暴露过 query token 或其他会话材料，请在公开发布前先轮换真实运行环境中的 auth DB / JWT secret。

漏洞反馈

• 普通问题可走公开 GitHub issue
• 安全漏洞建议在你正式公开仓库前，先配置一个私密反馈渠道，再替换本文件中的说明