# 安全说明

## 支持范围

只对 main 分支的最新提交接收安全报告。已经发布的旧版本不再单独修补，请先确认问题在最新提交上可以复现。

## 报告方式

请通过本仓库 Security 页面的私密漏洞报告功能提交，不要开公开 issue。报告中请写清：

- 受影响的文件与版本
- 复现步骤，能复现的最小操作序列
- 实际影响，例如是否可被本机以外访问、是否需要用户交互
- 你已有的修复思路，可选

收到后会先确认能否复现，再给出处理结论。修复完成前请不要公开细节。

## 关注的范围

这个插件的攻击面很小，但仍然在意以下几类问题：

- 本机回环路由被绕过。路由只应响应 localhost、127.0.0.1、::1 形式的主机头，任何其他来源必须拒绝
- Origin 校验失效，导致其他站点可以通过浏览器发起跨源请求读取播放状态或歌词
- 歌词内容注入。第三方接口返回的文本只允许作为纯文本渲染，不允许进入 HTML 解析
- worker 启动过程被注入。脚本路径与参数不得由外部输入拼接
- 权限扩散。插件不得读取网易云账号数据、Cookie 或客户端本地文件

## 已知设计取舍

以下行为属于设计选择，不是漏洞：

- 播放状态与歌词通过本机 HTTP 路由提供，端口与宿主 Web 服务相同，不额外监听端口
- 歌词来自第三方公开接口，内容准确性不由本项目保证，取不到时静默不显示
- 页面在宿主状态行不存在时不渲染任何歌词，这是隐蔽优先的设计