# Security Policy (ខ្មែរ)

🌐 **Languages:** 🇺🇸 [English](../../../SECURITY.md) · 🇪🇹 [am](../am/SECURITY.md) · 🇸🇦 [ar](../ar/SECURITY.md) · 🇦🇿 [az](../az/SECURITY.md) · 🇧🇬 [bg](../bg/SECURITY.md) · 🇧🇩 [bn](../bn/SECURITY.md) · 🇧🇦 [bs](../bs/SECURITY.md) · 🇨🇿 [cs](../cs/SECURITY.md) · 🇩🇰 [da](../da/SECURITY.md) · 🇩🇪 [de](../de/SECURITY.md) · 🇬🇷 [el](../el/SECURITY.md) · 🇪🇸 [es](../es/SECURITY.md) · 🇪🇪 [et](../et/SECURITY.md) · 🇮🇷 [fa](../fa/SECURITY.md) · 🇫🇮 [fi](../fi/SECURITY.md) · 🇫🇷 [fr](../fr/SECURITY.md) · 🇮🇪 [ga](../ga/SECURITY.md) · 🇮🇳 [gu](../gu/SECURITY.md) · 🇳🇬 [ha](../ha/SECURITY.md) · 🇮🇱 [he](../he/SECURITY.md) · 🇮🇳 [hi](../hi/SECURITY.md) · 🇭🇷 [hr](../hr/SECURITY.md) · 🇭🇺 [hu](../hu/SECURITY.md) · 🇦🇲 [hy](../hy/SECURITY.md) · 🇮🇩 [id](../id/SECURITY.md) · 🇳🇬 [ig](../ig/SECURITY.md) · 🇮🇹 [it](../it/SECURITY.md) · 🇯🇵 [ja](../ja/SECURITY.md) · 🇬🇪 [ka](../ka/SECURITY.md) · 🇮🇳 [kn](../kn/SECURITY.md) · 🇰🇷 [ko](../ko/SECURITY.md) · 🇱🇹 [lt](../lt/SECURITY.md) · 🇱🇻 [lv](../lv/SECURITY.md) · 🇮🇳 [ml](../ml/SECURITY.md) · 🇮🇳 [mr](../mr/SECURITY.md) · 🇲🇾 [ms](../ms/SECURITY.md) · 🇲🇹 [mt](../mt/SECURITY.md) · 🇲🇲 [my](../my/SECURITY.md) · 🇳🇵 [ne](../ne/SECURITY.md) · 🇳🇱 [nl](../nl/SECURITY.md) · 🇳🇴 [no](../no/SECURITY.md) · 🇮🇳 [or](../or/SECURITY.md) · 🇮🇳 [pa](../pa/SECURITY.md) · 🇵🇭 [phi](../phi/SECURITY.md) · 🇵🇱 [pl](../pl/SECURITY.md) · 🇵🇹 [pt](../pt/SECURITY.md) · 🇧🇷 [pt-BR](../pt-BR/SECURITY.md) · 🇷🇴 [ro](../ro/SECURITY.md) · 🇷🇺 [ru](../ru/SECURITY.md) · 🇱🇰 [si](../si/SECURITY.md) · 🇸🇰 [sk](../sk/SECURITY.md) · 🇸🇮 [sl](../sl/SECURITY.md) · 🇷🇸 [sr](../sr/SECURITY.md) · 🇸🇪 [sv](../sv/SECURITY.md) · 🇰🇪 [sw](../sw/SECURITY.md) · 🇮🇳 [ta](../ta/SECURITY.md) · 🇮🇳 [te](../te/SECURITY.md) · 🇹🇭 [th](../th/SECURITY.md) · 🇹🇷 [tr](../tr/SECURITY.md) · 🇺🇦 [uk-UA](../uk-UA/SECURITY.md) · 🇵🇰 [ur](../ur/SECURITY.md) · 🇺🇿 [uz](../uz/SECURITY.md) · 🇻🇳 [vi](../vi/SECURITY.md) · 🇳🇬 [yo](../yo/SECURITY.md) · 🇨🇳 [zh-CN](../zh-CN/SECURITY.md) · 🇹🇼 [zh-TW](../zh-TW/SECURITY.md)

---

## ការរាយការណ៍អំពីភាពងាយរងគ្រោះ

ប្រសិនបើអ្នករកឃើញភាពងាយរងគ្រោះផ្នែកសុវត្ថិភាពនៅក្នុង OmniRoute សូមរាយការណ៍ដោយការទទួលខុសត្រូវ៖

1. **កុំ** បើក GitHub issue ជាសាធារណៈ
2. ប្រើ [GitHub Security Advisories](https://github.com/diegosouzapw/OmniRoute/security/advisories/new)
3. រួមបញ្ចូល៖ សេចក្ដីពិពណ៌នា ជំហានសម្រាប់បង្កើតបញ្ហាឡើងវិញ និងផលប៉ះពាល់ដែលអាចកើតមាន

## កាលវិភាគឆ្លើយតប

| ដំណាក់កាល                    | គោលដៅ                      |
| ---------------------------- | -------------------------- |
| ការទទួលស្គាល់                | 48 ម៉ោង                    |
| ការចាត់ថ្នាក់ និងការវាយតម្លៃ | 5 ថ្ងៃធ្វើការ              |
| ការចេញផ្សាយបំណះ              | 14 ថ្ងៃធ្វើការ (ធ្ងន់ធ្ងរ) |

## កំណែដែលគាំទ្រ

| កំណែ    | ស្ថានភាពគាំទ្រ                                         |
| ------- | ------------------------------------------------------ |
| 3.9.x   | 🗓️ បានគ្រោងទុក — ខ្សែ LTS (`stable/v3`) សូមមើលខាងក្រោម |
| 3.8.x   | ✅ សកម្ម                                               |
| 3.7.x   | ✅ សុវត្ថិភាព                                          |
| < 3.7.0 | ❌ មិនគាំទ្រ                                           |

## រយៈពេលគាំទ្រ LTS (v3.9.x)

បន្ទាប់ពី 3.8.59 កំណែបន្ទាប់គឺ **3.9.0** ដែលបើកខ្សែគាំទ្ររយៈពេលវែងនៅលើ
សាខា `stable/v3` (សូមមើល [`ROADMAP.md`](ROADMAP.md) → "ដំណាក់កាលទី 3 — v3.9.0 LTS")។

- **អ្វីដែល `stable/v3` ទទួលបាន៖** ការកែបញ្ហា បំណះសុវត្ថិភាព និងការធ្វើបច្ចុប្បន្នភាពអ្នកផ្តល់សេវា។ មុខងារ
  ថ្មីៗនឹងចូលទៅកាន់ឆានែល v4; ខ្សែ LTS ផ្តល់អាទិភាពដល់ស្ថិរភាព។ `npm install omniroute`
  (`latest` dist-tag) នឹងបន្តស្ថិតនៅលើ v3 ពេញមួយវដ្ត v4។
- **រយៈពេលនៃការគាំទ្រ៖** `<T-GAP-3: owner decision pending — see ROADMAP.md>`។ រយៈពេល
  បន្ទាប់ពី v4.0 GA (នៅពេល `latest` ប្តូរទៅ v4) **មិនទាន់ត្រូវបានសម្រេចនៅឡើយទេ**; ផ្នែកនេះ
  នឹងត្រូវបានធ្វើបច្ចុប្បន្នភាពនៅពេលអ្នកថែទាំប្រកាស។ រហូតដល់ពេលនោះ សូមកុំសន្មតកាលបរិច្ឆេទបញ្ចប់។
- **ការរាយការណ៍ភាពងាយរងគ្រោះនៅក្នុងខ្សែ LTS៖** ប្រើឆានែលដូចគ្នានឹងកំណែផ្សេងទៀត —
  [GitHub Security Advisory](https://github.com/diegosouzapw/OmniRoute/security/advisories/new) ឯកជន
  មិនត្រូវប្រើ issue សាធារណៈឡើយ។ បញ្ជាក់កំណែដែលអ្នកបានសាកល្បង (ឧទាហរណ៍ `3.9.2`); ការកែតម្រូវនឹងត្រូវបញ្ចូលទៅក្នុង
  `stable/v3` ហើយត្រូវបានបញ្ជូនបន្តទៅ v4។
- **មូលដ្ឋានសុវត្ថិភាពនៅពេលកាត់ចេញ LTS៖** ស្ថានភាពកម្មវិធីស្កេនដែលបានវាស់វែង ការការពារ route និង
  ភស្តុតាងអត្តសញ្ញាណសម្ងាត់សាធារណៈត្រូវបានកត់ត្រានៅក្នុង
  [`docs/security/LTS_SECURITY_BASELINE.md`](docs/security/LTS_SECURITY_BASELINE.md)។

---

## ស្ថាបត្យកម្មសុវត្ថិភាព

OmniRoute អនុវត្តម៉ូដែលសុវត្ថិភាពច្រើនស្រទាប់៖

```
សំណើ → CORS → ខ្សែដំណើរការ Authz (ចាត់ថ្នាក់ → គោលការណ៍ → អនុវត្ត)
       → របាំងការពារ (ឧបករណ៍បិទបាំង PII, ការចាក់បញ្ចូល prompt, vision bridge)
       → ឧបករណ៍កំណត់អត្រា → ឧបករណ៍ផ្ដាច់សៀគ្វី → រយៈពេលត្រជាក់ → ការចាក់សោម៉ូដែល → អ្នកផ្តល់សេវា
```

### 🔐 ការផ្ទៀងផ្ទាត់អត្តសញ្ញាណ និងការផ្តល់សិទ្ធិ

| មុខងារ                          | ការអនុវត្ត                                                                                                                                                                    |
| ------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **ការចូល Dashboard**            | ការផ្ទៀងផ្ទាត់អត្តសញ្ញាណផ្អែកលើពាក្យសម្ងាត់ជាមួយ JWT token (HttpOnly cookies)                                                                                                 |
| **ការផ្ទៀងផ្ទាត់ API Key**      | key ដែលចុះហត្ថលេខាដោយ HMAC ជាមួយនឹងការផ្ទៀងផ្ទាត់ CRC                                                                                                                         |
| **OAuth 2.0 + PKCE**            | OAuth តាម browser/device ជាក់លាក់របស់អ្នកផ្តល់សេវាប្រើ PKCE នៅកន្លែងដែលគាំទ្រ; អត្តសញ្ញាណសម្ងាត់ Devin សម្រាប់តែនាំចូលត្រូវបានគ្រប់គ្រងដាច់ដោយឡែក។                            |
| **ការធ្វើឱ្យ Token ថ្មីឡើងវិញ** | ធ្វើឱ្យ OAuth token ថ្មីឡើងវិញដោយស្វ័យប្រវត្តិមុនពេលផុតកំណត់                                                                                                                  |
| **Cookie សុវត្ថិភាព**           | `AUTH_COOKIE_SECURE=true` សម្រាប់បរិស្ថាន HTTPS                                                                                                                               |
| **ខ្សែដំណើរការ Authz**          | ការចាត់ថ្នាក់ route (PUBLIC / CLIENT_API / MANAGEMENT) — សូមមើល `docs/architecture/AUTHZ_GUIDE.md`                                                                            |
| **កម្រិតការពារ Route**          | ម៉ូដែល 3 កម្រិតសម្រាប់ route គ្រប់គ្រង (LOCAL_ONLY / ALWAYS_PROTECTED / MANAGEMENT) — សូមមើល `docs/security/ROUTE_GUARD_TIERS.md`                                             |
| **MCP ជាមួយ Manage-Scope**      | ការចូលប្រើ `/api/mcp/*` ពីចម្ងាយត្រូវបានគ្រប់គ្រងដោយ API key ដែលមាន scope `manage`; `/api/cli-tools/runtime/*` នៅតែកំណត់យ៉ាងតឹងរ៉ឹងសម្រាប់ loopback។ សូមមើល ROUTE_GUARD_TIERS |
| **MCP Scopes**                  | scope លម្អិតចំនួន 32 (read:health, write:combos, execute:completions ជាដើម) — សូមមើល `docs/frameworks/MCP-SERVER.md`                                                          |

### 🛡️ ការអ៊ិនគ្រីបទិន្នន័យដែលរក្សាទុក

ទិន្នន័យរសើបទាំងអស់ដែលរក្សាទុកក្នុង SQLite ត្រូវបានអ៊ិនគ្រីបដោយប្រើ **AES-256-GCM** ជាមួយការទាញយក key តាម scrypt៖

- API key, access token, refresh token និង ID token
- ទម្រង់ដែលមានកំណែ៖ `enc:v1:<iv>:<ciphertext>:<authTag>`
- របៀបបញ្ជូនឆ្លងកាត់ (អត្ថបទធម្មតា) នៅពេលមិនបានកំណត់ `STORAGE_ENCRYPTION_KEY`

```bash
# បង្កើត encryption key៖
STORAGE_ENCRYPTION_KEY=$(openssl rand -hex 32)
```

### 🛡️ ក្របខ័ណ្ឌរបាំងការពារ

OmniRoute ភ្ជាប់មកជាមួយ **បញ្ជីចុះឈ្មោះរបាំងការពារ** ដែលអាចផ្ទុកឡើងវិញភ្លាមៗ (`src/lib/guardrails/`) ព្រមទាំងរបាំងការពារដែលមានស្រាប់ចំនួន 3 តាមលំដាប់អាទិភាព៖

| របាំងការពារ        | អាទិភាព | គោលបំណង                                                                                                 |
| ------------------ | ------- | ------------------------------------------------------------------------------------------------------- |
| `vision-bridge`    | 5       | ភ្ជាប់ម៉ូដែលដែលមិនគាំទ្ររូបភាពជាមួយសេចក្ដីពិពណ៌នាដែលយល់ដឹងអំពីរូបភាព; ការការពារ SSRF សម្រាប់ URL រូបភាព |
| `pii-masker`       | 10      | ការលុបបំបាត់ PII មុន+ក្រោយការហៅ (អ៊ីមែល លេខទូរសព្ទ CPF, CNPJ, កាតឥណទាន, SSN)                            |
| `prompt-injection` | 20      | រកឃើញលំនាំ override/ការប្លន់ role/jailbreak/ការលេចធ្លាយ                                                 |

របាំងការពារផ្ទាល់ខ្លួនត្រូវបានចុះឈ្មោះតាមរយៈ `registerGuardrail(new MyGuardrail())`។ ម៉ូដែលនេះប្រើ fail-open (ករណីលើកលែងមិនរារាំងចរាចរណ៍ឡើយ)។ អាចដកខ្លួនចេញសម្រាប់សំណើនីមួយៗតាមរយៈ header `x-omniroute-disabled-guardrails`។ → សូមមើល [`docs/security/GUARDRAILS.md`](docs/security/GUARDRAILS.md)។

### 🧠 របាំងការពារការចាក់បញ្ចូល Prompt

មីឌលវែរបែបតាមវិចារណញ្ញាណដែលខិតខំប្រឹងប្រែងឱ្យអស់ពីលទ្ធភាព ដើម្បីរកឃើញលំនាំនៃការបញ្ចូលពាក្យបញ្ជាបន្លំក្នុងសំណើ LLM។
**មិនមែនជាជញ្ជាំងភ្លើងការពារការបញ្ចូលពាក្យបញ្ជាបន្លំពេញលេញទេ** — អាចបង្កើតលទ្ធផលវិជ្ជមានមិនពិត (ពាក្យបញ្ជាតួអង្គ/RPG ដែលគ្មានគ្រោះថ្នាក់)
និងលទ្ធផលអវិជ្ជមានមិនពិត (leetspeak ការដកឃ្លា និងលំនាំដែលមិនមែនជាភាសាអង់គ្លេស)។

| ប្រភេទលំនាំ                   | កម្រិតធ្ងន់ធ្ងរ | ឧទាហរណ៍                                               |
| ----------------------------- | --------------- | ----------------------------------------------------- |
| ការបដិសេធសេចក្តីបញ្ជាប្រព័ន្ធ | ខ្ពស់           | "មិនអើពើសេចក្តីណែនាំមុនៗទាំងអស់"                      |
| ការប្លន់តួនាទី                | មធ្យម           | "ឥឡូវនេះអ្នកគឺជា DAN អ្នកអាចធ្វើអ្វីក៏បាន"            |
| ការបញ្ចូលសញ្ញាបំបែក           | ខ្ពស់           | សញ្ញាបំបែកដែលបានអ៊ិនកូដ ដើម្បីបំបែកព្រំដែនបរិបទ       |
| DAN/Jailbreak                 | មធ្យម           | លំនាំពាក្យបញ្ជា jailbreak ដែលគេស្គាល់                 |
| ការលេចធ្លាយសេចក្តីណែនាំ       | ខ្ពស់           | "បង្ហាញពាក្យបញ្ជាប្រព័ន្ធរបស់អ្នកឱ្យខ្ញុំមើល"         |
| ការគេចវេះតាមការអ៊ិនកូដ        | មធ្យម           | ការឌិកូដ base64/rot13/hex + ពាក្យគន្លឹះនៃសេចក្តីណែនាំ |

មានតែការរកឃើញកម្រិតធ្ងន់ធ្ងរ **ខ្ពស់** ប៉ុណ្ណោះដែលត្រូវបានទប់ស្កាត់ក្នុងរបៀប `block`។ ក្រុមលំនាំដែលមានកម្រិតធ្ងន់ធ្ងរមធ្យម
ត្រូវបានកត់ត្រា ប៉ុន្តែមិនត្រូវបានទប់ស្កាត់ដោយ `sanitizeRequest` ឡើយ។

កំណត់រចនាសម្ព័ន្ធតាមរយៈផ្ទាំងគ្រប់គ្រង (ការកំណត់ → សុវត្ថិភាព) ឬ `.env`៖

```env
INPUT_SANITIZER_ENABLED=true
INPUT_SANITIZER_MODE=block    # ព្រមាន | ទប់ស្កាត់ (គោលការណ៍ការបញ្ចូលពាក្យបញ្ជាបន្លំ; "redact" ចាស់មិនលុបអត្ថបទការបញ្ចូលពាក្យបញ្ជាបន្លំទេ)
INPUT_SANITIZER_BLOCK_THRESHOLD=high  # ខ្ពស់ (លំនាំដើម) | មធ្យម | ទាប — កម្រិតធ្ងន់ធ្ងរចាប់ពីកម្រិតនេះឡើងទៅត្រូវបានទប់ស្កាត់ក្នុងរបៀបទប់ស្កាត់
```

### 🔒 ការលាក់បាំង PII

ការរកឃើញដោយស្វ័យប្រវត្តិ និងការលាក់បាំងជាជម្រើសសម្រាប់ព័ត៌មានដែលអាចកំណត់អត្តសញ្ញាណបុគ្គល៖

| ប្រភេទ PII          | លំនាំ                 | តម្លៃជំនួស         |
| ------------------- | --------------------- | ------------------ |
| អ៊ីមែល              | `user@domain.com`     | `[EMAIL_REDACTED]` |
| CPF (ប្រេស៊ីល)      | `123.456.789-00`      | `[CPF_REDACTED]`   |
| CNPJ (ប្រេស៊ីល)     | `12.345.678/0001-00`  | `[CNPJ_REDACTED]`  |
| ប័ណ្ណឥណទាន          | `4111-1111-1111-1111` | `[CC_REDACTED]`    |
| ទូរសព្ទ             | `+55 11 99999-9999`   | `[PHONE_REDACTED]` |
| SSN (សហរដ្ឋអាមេរិក) | `123-45-6789`         | `[SSN_REDACTED]`   |

```env
PII_REDACTION_ENABLED=true   # ស្នើឱ្យសរសេរ PII ក្នុងសំណើឡើងវិញ; ឯករាជ្យពី INPUT_SANITIZER_MODE
PII_RESPONSE_SANITIZATION=true  # ជាជម្រើស៖ លាក់បាំង PII ក្នុងការឆ្លើយតបរបស់អ្នកផ្តល់សេវាដែលបានបញ្ជូនត្រឡប់ទៅអតិថិជន
```

### 🌐 សុវត្ថិភាពបណ្តាញ

| មុខងារ                           | ការពិពណ៌នា                                                                                  |
| -------------------------------- | ------------------------------------------------------------------------------------------- |
| **CORS**                         | បញ្ជីអនុញ្ញាតប្រភពឆ្លងដែនដែលបានកំណត់យ៉ាងច្បាស់ (`CORS_ALLOWED_ORIGINS`; `CORS_ORIGIN` ចាស់) |
| **ការត្រង IP**                   | បញ្ជីអនុញ្ញាត/បញ្ជីទប់ស្កាត់ជួរ IP នៅក្នុងផ្ទាំងគ្រប់គ្រង                                   |
| **ការកំណត់អត្រា**                | ដែនកំណត់អត្រាសម្រាប់អ្នកផ្តល់សេវានីមួយៗ ជាមួយការបន្ថយល្បឿនដោយស្វ័យប្រវត្តិ                  |
| **ការទប់ស្កាត់ Thundering Herd** | Mutex + ការចាក់សោតាមការតភ្ជាប់នីមួយៗ ការពារកំហុស 502 ជាបន្តបន្ទាប់                          |
| **ស្នាមម្រាមដៃ TLS**             | ការក្លែងស្នាមម្រាមដៃ TLS ដូចកម្មវិធីរុករក ដើម្បីកាត់បន្ថយការរកឃើញ bot                       |
| **ស្នាមម្រាមដៃ CLI**             | លំដាប់ header/body តាមអ្នកផ្តល់សេវានីមួយៗ ដើម្បីឱ្យត្រូវនឹងហត្ថលេខា CLI ដើម                 |

### 🔌 ភាពធន់ និងលទ្ធភាពប្រើប្រាស់

| មុខងារ                                  | ការពិពណ៌នា                                                                                     |
| --------------------------------------- | ---------------------------------------------------------------------------------------------- |
| **ឧបករណ៍ផ្តាច់សៀគ្វី**                  | 3 ស្ថានភាព (បិទ → បើក → បើកពាក់កណ្តាល) សម្រាប់អ្នកផ្តល់សេវានីមួយៗ រក្សាទុកជាប់លាប់ក្នុង SQLite |
| **ភាពមិនច្រំដែលនៃសំណើ**                 | ចន្លោះពេលលុបសំណើស្ទួន 5 វិនាទី                                                                 |
| **ការរង់ចាំថយក្រោយបែបអិចស្ប៉ូណង់ស្យែល** | ព្យាយាមឡើងវិញដោយស្វ័យប្រវត្តិ ជាមួយការពន្យារពេលដែលកើនឡើង                                       |
| **ផ្ទាំងគ្រប់គ្រងសុខភាព**               | ការត្រួតពិនិត្យស្ថានភាពអ្នកផ្តល់សេវាតាមពេលវេលាជាក់ស្តែង                                        |

### 📋 អនុលោមភាព

| មុខងារ                     | ការពិពណ៌នា                                                                         |
| -------------------------- | ---------------------------------------------------------------------------------- |
| **ការរក្សាទុកកំណត់ហេតុ**   | ការសម្អាតដោយស្វ័យប្រវត្តិបន្ទាប់ពី `CALL_LOG_RETENTION_DAYS`                       |
| **ការដកខ្លួនពីការកត់ត្រា** | ទង់ `noLog` សម្រាប់ API key នីមួយៗ បិទការកត់ត្រាសំណើ                               |
| **កំណត់ហេតុសវនកម្ម**       | សកម្មភាពរដ្ឋបាលត្រូវបានតាមដានក្នុងតារាង `audit_log`                                |
| **សវនកម្ម MCP**            | ការកត់ត្រាសវនកម្មដែលគាំទ្រដោយ SQLite សម្រាប់ការហៅឧបករណ៍ MCP ទាំងអស់                |
| **ការផ្ទៀងផ្ទាត់ Zod**     | ធាតុបញ្ចូល API ទាំងអស់ត្រូវបានផ្ទៀងផ្ទាត់ជាមួយ schema របស់ Zod v4 នៅពេលផ្ទុកម៉ូឌុល |

---

## អថេរបរិស្ថានដែលតម្រូវឱ្យមាន

ព័ត៌មានសម្ងាត់ទាំងអស់ត្រូវតែកំណត់ មុនពេលចាប់ផ្ដើមម៉ាស៊ីនមេ។ ម៉ាស៊ីនមេនឹង **បរាជ័យភ្លាមៗ** ប្រសិនបើព័ត៌មានទាំងនោះបាត់ ឬខ្សោយ។

```bash
# ចាំបាច់ — ម៉ាស៊ីនមេនឹងមិនចាប់ផ្ដើមដោយគ្មានតម្លៃទាំងនេះទេ៖
JWT_SECRET=$(openssl rand -base64 48)     # យ៉ាងតិច 32 តួអក្សរ
API_KEY_SECRET=$(openssl rand -hex 32)    # យ៉ាងតិច 16 តួអក្សរ

# បានណែនាំ — បើកការអ៊ិនគ្រីបទិន្នន័យដែលបានរក្សាទុក៖
STORAGE_ENCRYPTION_KEY=$(openssl rand -hex 32)
```

ម៉ាស៊ីនមេនឹងបដិសេធយ៉ាងសកម្មចំពោះតម្លៃដែលគេស្គាល់ថាខ្សោយ ដូចជា `changeme`, `secret` ឬ `password`។

---

## សុវត្ថិភាព Docker

- ប្រើអ្នកប្រើប្រាស់ដែលមិនមែនជា root នៅក្នុងបរិស្ថាន production
- Mount ព័ត៌មានសម្ងាត់ជា volume ដែលអាចអានបានតែប៉ុណ្ណោះ
- កុំចម្លងឯកសារ `.env` ចូលក្នុង Docker image ដាច់ខាត
- ប្រើ `.dockerignore` ដើម្បីដកឯកសាររសើបចេញ
- កំណត់ `AUTH_COOKIE_SECURE=true` នៅពេលដំណើរការនៅពីក្រោយ HTTPS

```bash
docker run -d \
  --name omniroute \
  --restart unless-stopped \
  --read-only \
  -p 20128:20128 \
  -v omniroute-data:/app/data \
  -e JWT_SECRET="$(openssl rand -base64 48)" \
  -e API_KEY_SECRET="$(openssl rand -hex 32)" \
  -e STORAGE_ENCRYPTION_KEY="$(openssl rand -hex 32)" \
  diegosouzapw/omniroute:latest
```

---

## ភាពអាស្រ័យ

- ដំណើរការ `npm audit` ជាប្រចាំ (`npm run audit:deps` គ្របដណ្ដប់លើ main + electron)
- រក្សាភាពអាស្រ័យឱ្យទាន់សម័យ
- គម្រោងនេះប្រើ `husky` + `lint-staged` សម្រាប់ការត្រួតពិនិត្យមុន commit (lint-staged + check-docs-sync + check:any-budget:t11)
- CI pipeline ដំណើរការច្បាប់សុវត្ថិភាព ESLint រាល់ពេល push (`no-eval`, `no-implied-eval`, `no-new-func` = error)
- ថេររបស់ provider ត្រូវបានធ្វើសុពលកម្មនៅពេលផ្ទុក module តាមរយៈ Zod (`src/shared/validation/schemas.ts`)
- បណ្ណាល័យដែលមានសុវត្ថិភាពតាមលំនាំដើមដែលបានប្រើ៖ `dompurify` / `isomorphic-dompurify` (XSS), `jose` (JWT), `better-sqlite3` (គ្មានហានិភ័យ SQLi ដោយសារប្រើ query ដែលមាន parameter), `bcryptjs` (ការធ្វើ hash ពាក្យសម្ងាត់)

## ច្បាប់សុវត្ថិភាពតឹងរ៉ឹង

ច្បាប់ទាំងនេះត្រូវបានអនុវត្តដោយឧបករណ៍ និងអ្នកត្រួតពិនិត្យ៖

1. **កុំ commit ព័ត៌មានសម្ងាត់ដាច់ខាត** — `.env` ត្រូវបានដាក់ក្នុង gitignore; `.env.example` គឺជា template (គ្មានតម្លៃ literal មានតែ comment ប៉ុណ្ណោះ — សូមមើល PUBLIC_CREDS.md ខាងក្រោម)
2. **កុំប្រើ `eval()`, `new Function()` ឬ implied eval ដាច់ខាត** — ESLint ជាអ្នកអនុវត្តច្បាប់នេះ
3. **កុំរំលង Husky hook ដាច់ខាត** (`--no-verify`, `--no-gpg-sign`) ដោយគ្មានការអនុម័តច្បាស់លាស់ពីប្រតិបត្តិករ
4. **កុំសរសេរ SQL ដើមដោយផ្ទាល់ក្នុង route ដាច់ខាត** — ត្រូវឆ្លងកាត់ `src/lib/db/` ជានិច្ច (មាន parameter)
5. **ត្រូវធ្វើសុពលកម្ម input ជាមួយ Zod ជានិច្ច** — `src/shared/validation/schemas.ts`
6. **ត្រូវសម្អាត header ពី upstream ជានិច្ច** — denylist នៅក្នុង `src/shared/constants/upstreamHeaders.ts`
7. **អ៊ិនគ្រីបព័ត៌មានសម្គាល់អត្តសញ្ញាណដែលបានរក្សាទុក** — AES-256-GCM តាមរយៈ `src/lib/db/encryption.ts`
8. **ប្រើ identifier សាធារណៈរបស់ upstream OAuth តាមរយៈ `resolvePublicCred()`** — កុំបង្កប់តម្លៃ literal `AIza…` / `GOCSPX-…` / `…apps.googleusercontent.com` ក្នុង source ដាច់ខាត។ សូមមើល [`docs/security/PUBLIC_CREDS.md`](docs/security/PUBLIC_CREDS.md)។
9. **បញ្ជូន error response តាមរយៈ `buildErrorBody()` / `sanitizeErrorMessage()`** — កុំដាក់ `err.stack` / `err.message` ដើមដោយផ្ទាល់ក្នុង response body របស់ HTTP / SSE / executor / MCP ដាច់ខាត។ សូមមើល [`docs/security/ERROR_SANITIZATION.md`](docs/security/ERROR_SANITIZATION.md)។
10. **បញ្ជូនតម្លៃ runtime របស់ `exec()` / `spawn()` តាមរយៈ option `env`** — កុំប្រើ string interpolation ដើម្បីបញ្ចូល path ខាងក្រៅ ឬតម្លៃដែលមិនគួរឱ្យទុកចិត្តទៅក្នុង script ដែលបញ្ជូនទៅ shell ដាច់ខាត។ ឯកសារយោង៖ `src/mitm/cert/install.ts::updateNssDatabases`។
11. **ផ្ដល់អាទិភាពដល់បណ្ណាល័យដែលមានសុវត្ថិភាពតាមលំនាំដើម** — សូមមើល [tldrsec/awesome-secure-defaults](https://github.com/tldrsec/awesome-secure-defaults) (Helmet.js, DOMPurify, ssrf-req-filter, safe-regex, Google Tink)។ គួរប្រើបណ្ណាល័យទាំងនេះជាមុនសិន មុននឹងបង្កើតដំណោះស្រាយដោយខ្លួនឯង។

## លទ្ធផលរកឃើញរបស់ឧបករណ៍ស្កេនខ្សែសង្វាក់ផ្គត់ផ្គង់ (Socket.dev / Snyk / ឧបករណ៍ស្រដៀងគ្នា)

> **កំណត់សម្គាល់អំពីវិសាលភាព៖** `socket.yml` នៅថតឫសនៃ repository កំណត់តែ `projectIgnorePaths` សម្រាប់ការស្កេនក្រោយពេលបោះពុម្ពនៅផ្នែក registry របស់ Socket.dev លើ npm artifact ដែលបានបោះពុម្ពប៉ុណ្ណោះ — វាមិនមែនជាច្រកត្រួតពិនិត្យបង្ខំសម្រាប់ការបញ្ចូលចូលគ្នា CI/PR ទេ។ គ្មាន workflow ណាមួយក្នុង `.github/workflows` គ្មាន script ក្នុង `package.json` និងគ្មាន target ក្នុង `Makefile` ដែលហៅប្រើ Socket.dev ឡើយ។

npm artifact `omniroute` ដែលបានបោះពុម្ព រួមបញ្ចូល build `output: "standalone"`
របស់ Next.js ដែលមានន័យថា route handler ទាំងអស់ — រួមទាំងមុខងារដែលមានសិទ្ធិខ្ពស់
និងបានចងក្រងជាឯកសារ (MITM, ការនាំចូល Zed, Cloud Sync, embedded service supervisor) — នឹងត្រូវ
ដាក់បញ្ចូលក្នុង chunk បង្រួមអប្បបរមា `.next/server/*.js`។ ឧបករណ៍ស្កេនខ្សែសង្វាក់ផ្គត់ផ្គង់តាមបែប heuristic
ជាញឹកញាប់ផ្គូផ្គងលំនាំនៃ chunk ទាំងនោះជាមួយហត្ថលេខា malware។

ការកំណត់រចនាសម្ព័ន្ធឧបករណ៍ស្កេនដែលយើងប្រើស្ថិតនៅក្នុង [`socket.yml`](socket.yml) នៅ
ថតឫសនៃ repo (ទម្រង់ Socket.dev GitHub App v2 — សូមមើល
<https://docs.socket.dev/docs/socket-yml>)។ វាដកថតដែលមិនត្រូវបានចែកចាយ
(`tests/`, `_tasks/`, `_references/`, `_ideia/`,
`_mono_repo/`, `docs/` ជាដើម) ចេញយ៉ាងច្បាស់ ដូច្នេះឧបករណ៍ស្កេនរាយការណ៍តែលើ code path ដែល
ពិតជាទៅដល់អ្នកប្រើប្រាស់នៃកញ្ចប់ដែលបានបោះពុម្ពប៉ុណ្ណោះ — ការស្កេនខ្លួនវាត្រូវបានដំណើរការដោយ Socket
GitHub App ដែលអានឯកសារនោះ មិនមែនដោយ workflow នៅក្នុង repository នេះទេ។

សម្រាប់ប្រភេទលទ្ធផលរកឃើញនីមួយៗ យើងរក្សាទុកការបញ្ជាក់របស់ maintainer សម្រាប់លទ្ធផលរកឃើញនីមួយៗ៖

- **[`docs/security/SOCKET_DEV_FINDINGS.md`](docs/security/SOCKET_DEV_FINDINGS.md)** —
  ផែនទីតាមលទ្ធផលរកឃើញនីមួយៗ៖ ឯកសារប្រភព ↔ chunk ដែលត្រូវបានដាក់ទង់ ↔ ឥរិយាបថ ↔ វិធានការកាត់បន្ថយហានិភ័យ
  ដែលបានអនុវត្តក្នុង v3.8.6។
- ប្លុក `SECURITY-AUDITOR-NOTE:` ក្នុងកូដប្រភព នៅត្រង់ function នីមួយៗដែលត្រូវបានដាក់ទង់
  យោងត្រឡប់ទៅឯកសារដដែល។

សម្រាប់អ្នកប្រើប្រាស់ដែល pipeline របស់ពួកគេមិនអាចបន្ធូរបន្ថយការជូនដំណឹងបាន៖ build ដោយប្រើ
`OMNIROUTE_BUILD_PROFILE=minimal npm run build`។ វាជំនួស module រសើបទាំងបួន
ដោយ stub ដែលត្រឡប់ HTTP 503 `feature-disabled` នៅពេល runtime
ដូច្នេះ code path ដែលមានសិទ្ធិខ្ពស់មិនមាននៅក្នុង bundle ទាំងស្រុង។
សូមមើល [`docs/security/SOCKET_DEV_FINDINGS.md`](docs/security/SOCKET_DEV_FINDINGS.md)
សម្រាប់វិធីបោះពុម្ព។

## ឯកសារយោង

- [`docs/architecture/AUTHZ_GUIDE.md`](docs/architecture/AUTHZ_GUIDE.md) — pipeline ផ្តល់សិទ្ធិ
- [`docs/security/GUARDRAILS.md`](docs/security/GUARDRAILS.md) — framework វិធានការការពារ
- [`docs/security/COMPLIANCE.md`](docs/security/COMPLIANCE.md) — កំណត់ហេតុសវនកម្ម និងការរក្សាទុក
- [`docs/security/PUBLIC_CREDS.md`](docs/security/PUBLIC_CREDS.md) — លំនាំដែល **ចាំបាច់** សម្រាប់ព័ត៌មានសម្ងាត់ upstream សាធារណៈ
- [`docs/security/ERROR_SANITIZATION.md`](docs/security/ERROR_SANITIZATION.md) — លំនាំដែល **ចាំបាច់** សម្រាប់ response កំហុស
- [`docs/security/SOCKET_DEV_FINDINGS.md`](docs/security/SOCKET_DEV_FINDINGS.md) — ការបញ្ជាក់របស់ maintainer ចំពោះលទ្ធផលរកឃើញរបស់ឧបករណ៍ស្កេនខ្សែសង្វាក់ផ្គត់ផ្គង់
- [`docs/architecture/RESILIENCE_GUIDE.md`](docs/architecture/RESILIENCE_GUIDE.md) — circuit breaker + cooldown + lockout
- [`docs/security/STEALTH_GUIDE.md`](docs/security/STEALTH_GUIDE.md) — ការកំណត់អត្តសញ្ញាណ TLS តាម fingerprint (សេចក្តីជូនដំណឹងផ្នែកច្បាប់/ក្រមសីលធម៌)
- [`CLAUDE.md`](CLAUDE.md) — ច្បាប់តឹងរ៉ឹងសម្រាប់ AI agent
- [tldrsec/awesome-secure-defaults](https://github.com/tldrsec/awesome-secure-defaults) — បណ្ណាល័យដែលកំណត់លំនាំដើមឱ្យមានសុវត្ថិភាព និងត្រូវបានជ្រើសរើសយ៉ាងយកចិត្តទុកដាក់