# 安全策略

## 支持范围

Flowboard 当前处于 Alpha。安全修复只针对 npm `alpha` tag 指向的最新版本和 `main` 分支；旧 Alpha 版本不保证回补。

## 报告漏洞

请使用 GitHub 仓库的 **Security > Report a vulnerability** 私密报告，不要创建公开 Issue，也不要在可公开访问的日志、录屏或示例数据库中包含令牌、会议内容和业务数据。

报告请包含：

- 受影响版本、DSH 版本、Node.js 版本和平台；
- 漏洞影响、复现条件和最小复现步骤；
- 已知缓解方式或建议修复（如有）；
- 是否已在其他渠道披露。

维护者会尽快确认收到报告，并在完成影响评估后同步修复与披露计划。修复发布前，请为项目保留合理的处置时间。

## 安全边界

- 浏览器不得读取 Flowboard API Token，所有浏览器请求经 DSH Remote 进入 Host。
- 嵌入模式每次启动生成随机 Token；独立 server 必须显式配置至少 16 字符的 `FLOWBOARD_TOKEN`。
- 插件卸载不会删除 `$DSH_HOME/flowboard`，备份和介质清理由部署者负责。
- Whisper 原生二进制与模型随包发布，并通过仓库中的 SHA-256 基线校验。
- SQLite 适用于本地或小团队部署；当前版本不声明多租户互联网暴露场景的生产加固能力。