# 安全政策

## 支持范围

| 版本 | 是否接收安全修复 |
| --- | --- |
| 最新 release | ✅ |
| `main` 分支 | ✅ |
| 更早版本 | ❌（请先升级） |

## 报告漏洞

请**不要**用公开 issue 报告安全问题。使用 GitHub 的私密渠道：

- [Security Advisories → Report a vulnerability](https://github.com/lpeixin/dsh-qualityforge/security/advisories/new)

请在报告中包含：

- 受影响版本与运行环境（DSH 版本、Node 版本、操作系统）；
- 复现步骤或最小复现；
- 影响评估（能否读写被审计项目之外的文件、能否发起网络请求、能否执行任意命令）；
- 如已知，附上缓解建议。

**响应时限**：3 个工作日内确认收到，7 个工作日内给出初步评估，修复版本发布后在此文件中致谢
（如你希望匿名请注明）。

## 插件的安全边界（设计承诺）

QualityForge 运行在 DSH 宿主进程内，因此这些边界是刻意收窄的：

| 能力 | 边界 |
| --- | --- |
| 文件系统 | 只读侦察被审计项目；写入仅限被审计项目的 `.qualityforge/` 目录 |
| 命令执行 | `qf_exec` 只运行 `qf_scan` 识别出的预设命令（spawn，不经 shell），不接受任意命令字符串；`install` 预设默认不执行 |
| 网络 | `qf_probe` 只允许回环地址（localhost / 127.0.0.1 / ::1）的 http(s)，方法限定 GET/HEAD，响应体截断 |
| 凭据 | 不读取、不存储任何凭据；密钥扫描只记录位置与类型，**不记录密钥取值** |
| 会话 | 不写入自定义会话事件（避免污染会话日志导致会话不可加载） |
| 依赖 | 不 import 任何外部包，安装时不执行构建脚本 |

如果你发现任何一条被绕过，请按上面的渠道报告——这属于最高优先级缺陷。