| 版本 | 支持状态 |
|---|---|
| 1.0.x | 支持 |
| < 1.0 | 不支持 |
如果你发现安全漏洞，请不要通过公开 Issue 报告。请通过以下方式联系我们：
报告内容应包括：
- 漏洞描述
- 复现步骤
- 影响范围
- 潜在风险
- 建议的修复方案（如有）
- 确认收到： 48 小时内
- 初步评估： 7 个工作日内
- 修复发布： 根据严重程度，30 天内
| 级别 | 描述 | 响应时间 |
|---|---|---|
| 严重 | 远程代码执行、数据泄露 | 24 小时 |
| 高 | 认证绕过、权限提升 | 72 小时 |
| 中 | XSS、CSRF、信息泄露 | 7 天 |
| 低 | 配置问题、低风险漏洞 | 30 天 |
部署本项目时，请确保：
- JWT_SECRET 使用强随机密钥（至少 32 字节）
- wrangler.toml 中的密钥不要提交到版本控制
- 定期轮换 API Token
- 启用 Cloudflare 的安全功能（WAF、DDoS 防护）
- 监控异常请求和错误日志
- 密码使用 PBKDF2 (SHA-256, 100k 迭代) + 随机 Salt 哈希存储
- JWT Token 使用 HS256 签名，有效期 7 天
- API 请求强制 CORS 策略
- 源站强制 HTTPS 回源
- 邮件频率限制（5 分钟/3 封）
- 存储配额限制（100MB/用户）
| Version | Supported |
|---|---|
| 1.0.x | Yes |
| < 1.0 | No |
If you discover a security vulnerability, please do NOT report it through a public Issue. Contact us via:
Email: security@nomio.world
Report should include:
- Vulnerability description
- Steps to reproduce
- Impact scope
- Potential risk
- Suggested fix (if any)
- Acknowledgment: Within 48 hours
- Initial assessment: Within 7 business days
- Fix release: Within 30 days depending on severity
| Level | Description | Response Time |
|---|---|---|
| Critical | Remote code execution, data breach | 24 hours |
| High | Authentication bypass, privilege escalation | 72 hours |
| Medium | XSS, CSRF, information disclosure | 7 days |
| Low | Configuration issues, low-risk vulnerabilities | 30 days |
When deploying this project, ensure:
- JWT_SECRET uses a strong random key (at least 32 bytes)
- Secrets in wrangler.toml are not committed to version control
- Rotate API tokens regularly
- Enable Cloudflare security features (WAF, DDoS protection)
- Monitor abnormal requests and error logs
- Passwords stored with PBKDF2 (SHA-256, 100k iterations) + random Salt
- JWT tokens signed with HS256, 7-day expiration
- API requests enforced with CORS policy
- Forced HTTPS origin for proxy
- Email rate limiting (5 min / 3 emails)
- Storage quota (100MB/user)