如果您发现了安全漏洞，请不要在公开的 Issue 中报告。相反，请通过以下方式私密地报告：

1. GitHub Security Advisory（推荐）

   • 访问 Security
   • 点击 "Report a vulnerability"
   • 填写漏洞详情

2. 电子邮件

   • 发送至：[security@example.com]
   • 主题：[SECURITY] FlowTime 安全漏洞报告
   • 包含详细的漏洞描述和复现步骤

• 漏洞描述：清楚地说明漏洞是什么
• 影响范围：哪些版本受到影响
• 复现步骤：如何重现该漏洞
• 建议修复：如果您有修复建议（可选）
• 联系信息：您的联系方式（邮箱或 GitHub 账户）

1. 确认（24 小时内）

   • 我们将确认收到您的报告
   • 提供参考编号用于后续沟通

2. 评估（3-5 个工作日）

   • 评估漏洞的严重性
   • 确定受影响的版本

3. 修复（7-14 个工作日）

   • 开发修复方案
   • 进行充分测试

4. 发布

   • 发布安全补丁版本
   • 发布安全公告

5. 致谢（可选）

   • 在发布说明中致谢报告者（如同意）

• 定期更新：始终使用最新版本的 FlowTime
• 强密码：使用强密码保护您的账户
• 启用 2FA：如果服务器支持，启用双因素认证
• 谨慎分享：不要在不信任的网络上分享敏感信息

• 依赖更新：定期更新依赖项以修复已知漏洞
• 代码审查：所有代码更改都应进行审查
• 安全测试：在发布前进行安全测试
• 日志管理：不要在日志中记录敏感信息

暂无已知的安全问题。

我们定期检查依赖项的安全漏洞。

Flutter 依赖：

flutter pub outdated
flutter pub upgrade

Python 依赖：

pip list --outdated
pip install --upgrade pip

FlowTime 实现了多层安全措施：

所有 API 请求都使用 HMAC-SHA256 签名，包含：

• X-Timestamp：请求时间戳（防重放）
• X-Nonce：随机数（防重放）
• X-Signature：请求签名

• 传输层：所有通信使用 TLS 1.3
• 存储层：敏感数据在本地存储前加密

• JWT Token：基于 JWT 的会话管理
• 权限控制：基于角色的访问控制（RBAC）
• 登录门控：未登录用户仅可只读访问

• 用户隔离：按 user_id 分目录存储
• 跨用户保护：跨用户访问返回 403
• 数据库级隔离：查询自动添加 user_id 过滤

• 防套壳：APK 签名校验 + 包名校验
• 完整性检查：文件 MD5 校验
• 速率限制：API 请求速率限制
• 输入验证：所有输入都经过验证和清理

1. Watch 仓库：点击 GitHub 页面的 "Watch" 按钮
2. 启用 Release 通知：选择 "Releases only"
3. 订阅邮件：在 GitHub 设置中启用邮件通知

安全补丁版本遵循 Semantic Versioning：

• 主版本号：重大功能变更
• 次版本号：新功能或重要改进
• 修订版本号：Bug 修复和安全补丁

FlowTime 遵守以下安全标准：

• OWASP Top 10：防护常见 Web 应用安全风险
• GDPR：用户数据保护和隐私
• 数据加密：敏感数据加密存储和传输

• 安全问题：[security@example.com]
• GitHub Security：GitHub Security Advisory
• 一般问题：GitHub Issues

感谢您帮助我们保持 FlowTime 的安全！