# 安全策略

## 支持范围

本项目面向**企业自托管部署**，仅提供源码与部署文档，不提供官方托管服务。请在你自行部署的实例上应用安全更新。

## 报告漏洞

如果你发现安全漏洞，请**不要**在公开 Issue 中披露细节。可通过以下方式联系维护者：

1. 使用 GitHub [Security Advisories](https://github.com/DC-ET/mao/security/advisories/new)
2. 或通过私信方式联系仓库维护者

请在报告中尽量包含：

- 问题描述与影响范围
- 复现步骤
- 受影响版本或 commit
- 可能的修复建议（如有）

我们会在确认后尽快回复，并在修复发布后公开致谢（除非你希望匿名）。

## 部署安全建议

自托管部署时，请务必：

| 项 | 建议 |
|----|------|
| 默认账号 | 首次登录后立即修改 `admin` 默认密码 |
| JWT | 通过环境变量 `JWT_SECRET` 设置足够长的随机密钥 |
| 数据库 | 使用强密码，限制内网访问 |
| HTTPS | 生产环境启用 TLS |
| LLM API Key | 在管理后台配置，勿写入公开配置文件 |
| 文件上传 | 按需选择 `local` 或 `oss` 存储，并限制访问权限 |

## 已知默认风险

- 数据库迁移会创建默认管理员账号 `admin` / `admin123`，**生产环境必须修改**
- `application.yml` 中 JWT 存在开发用默认值，生产环境必须通过 `JWT_SECRET` 覆盖