# 安全报告指引

[项目首页](README.md) · [数据访问与处理边界](docs/usage.md#数据访问边界)

如果发现越权访问、凭据泄露或其他可能影响数据安全的问题，请按本页联系维护者。普通连接故障、使用问题和功能建议使用 [Issues](https://github.com/blkpne/dsh-database/issues)。

## 如何联系

**不要在公开 Issue、PR、评论或附件中提交漏洞细节、利用代码、凭据或真实业务数据。**

1. 查看仓库的 [Security 页面](https://github.com/blkpne/dsh-database/security)。若显示 **Report a vulnerability**，使用该私密报告入口。
2. 如果没有该入口，在 [Issues](https://github.com/blkpne/dsh-database/issues) 新建一条仅用于请求联系渠道的消息，例如：“希望私下报告一个安全问题，请维护者提供私密联系渠道。”不要填写受影响接口、复现步骤、日志或截图。
3. 等待维护者确认私密渠道后，再提交技术详情。普通 Issue 不是私密渠道；本仓库没有公布安全联系邮箱，也不承诺固定响应时限。

## 私密报告应包含什么

- 插件、DSH、Node.js 和数据库版本，以及运行平台。
- 触发条件、预期边界与实际影响。
- 使用合成数据的最小复现，以及已采取的临时缓解措施。
- 是否希望在修复说明中署名。

报告中仍应移除真实密码、token、连接地址和业务数据。维护者会核实影响、与报告者协调修复与披露时间；在确认披露安排前，请继续使用约定的私密渠道沟通。

## 支持范围

安全修复面向最新发布版本。报告时请标明使用的版本；宿主与数据库的已验证范围见[兼容性](docs/compatibility.md)。DSH 或数据库自身的问题应同时遵循相应上游项目的报告流程。