安全政策

最后更新：2025年1月24日

🔒 您的安全是我们的首要任务。本页面描述我们的安全措施和最佳实践。

1. 数据传输安全

1.1 HTTPS 加密

  • 所有数据通过 HTTPS 加密传输
  • TLS 1.2+ 协议保护
  • 防止中间人攻击

1.2 安全连接

  • 强制 HTTPS 重定向
  • HSTS (HTTP Strict Transport Security)
  • 安全的 Cookie 设置（HttpOnly、Secure）

2. 账户安全

2.1 密码保护

  • 密码哈希：使用 bcrypt 算法存储
  • 盐值加密：每个密码独立加盐
  • 密码强度：建议 8 位以上，包含大小写、数字、符号

2.2 登录安全

  • 会话管理：72 小时自动登出
  • Google reCAPTCHA：防止机器人攻击
  • OAuth 2.0：支持 GitHub、Google 安全登录

2.3 账户保护建议

  • ✅ 使用强密码，不要重复使用
  • ✅ 定期更换密码
  • ✅ 不要与他人共享账户
  • ✅ 发现异常立即修改密码
  • ✅ 使用密码管理器

3. 应用安全

3.1 防护措施

  • SQL 注入防护：PDO 预处理语句
  • XSS 防护：输入过滤和输出转义
  • CSRF 防护：Token 验证
  • 速率限制：防止暴力破解和 DDoS

3.2 代码安全

  • 定期安全审计
  • 依赖项漏洞扫描
  • 遵循 OWASP 安全标准
  • 安全编码最佳实践

4. 数据安全

4.1 数据保护

  • 访问控制：最小权限原则
  • 数据隔离：用户数据独立存储
  • 定期备份：防止数据丢失
  • 审计日志：记录关键操作

4.2 第三方数据

  • 仅从 GitHub 公共 API 获取数据
  • 不存储 GitHub 访问令牌
  • 定期清理过期数据（30 天）

5. 安全漏洞报告

5.1 如何报告

如果您发现安全漏洞，请：

  • 不要公开披露 - 先私密联系我们
  • 发送邮件至：security@gitaaa.com
  • 提供详细的漏洞描述和复现步骤
  • 如可能，提供修复建议

5.2 响应流程

  • 24 小时内确认收到报告
  • 48 小时内初步评估
  • 7 天内提供修复计划
  • 30 天内修复严重漏洞

5.3 安全奖励

对于发现重大安全漏洞的研究者，我们可能提供：

  • 公开致谢（如您同意）
  • 安全研究者荣誉榜

6. 合规性

  • GDPR：遵守欧盟数据保护法规
  • CCPA：遵守加州消费者隐私法
  • SOC 2：遵循安全控制标准

7. 安全更新

我们会及时：

  • 修补已知安全漏洞
  • 更新依赖库和框架
  • 应用安全补丁
  • 通知用户重大安全变更

8. 联系我们

安全相关问题请联系：

  • 邮箱：security@gitaaa.com
  • 一般问题：通过联系页面