# Security Policy — 安全策略

Graw 是一款可以以宿主机 root 权限运行（`--privileged` + `--pid host`）的服务器管理面板，
任何安全漏洞都可能带来严重后果。请安全研究人员与我们协力，负责任地披露问题。

## 报告安全问题

发现安全漏洞时，**请勿**在公开 Issue、仓库讨论区或社交平台张贴细节。

### 如何报告
1. 首选渠道：GitHub 私有漏洞报告
   → 打开 <https://github.com/wuhulab/Graw/security/advisories/new>
   或 New Issue → 选择 "Report a security vulnerability" 类型。
2. 备选渠道：向维护者直接反馈（通过社区指明的邮箱或官方渠道），
   并提供以下信息（越完整越能加速处置）：
   - 受影响的版本（`/api/health` 或 `backend/app/main.py` 的 `APP_VERSION`）
   - 漏洞类型（RCE / 越权 / 信息泄露 / SSRF / 路径穿越 等）
   - 复现步骤（环境、配置、最小化触发请求或操作序列）
   - 影响面评估（是否可被未授权用户触发）
3. 我们承诺：
   - 48 小时内确认收到报告；
   - 处置期间与报告者保持沟通；
   - 修复并发布版本后，与报告者协商公开时间（默认在修复发布后公开致谢）。

## 支持版本

| 版本 | 安全修复支持 |
|------|-------------|
| latest（最新 tag） |  全力支持，优先修复 |
| 更早版本 | 不再维护 |

(我们没有很多资金支持补丁修复，如果你支持我们，请参考捐赠)

强烈建议所有部署保持最新版本。升级方式见 [README.md](./README.md)。

## 部署安全建议
- 默认账号 `admin/admin123` 首次登录会强制改密，请勿跳过。
- 容器具备宿主机 root 能力，仅部署于**可信环境**；
  如需对外暴露，请置于反向代理 + 防火墙之后并启用 HTTPS。
- 数据目录（`/opt/graw/data`）含面板凭据，注意备份与访问控制。
- 及时关注 Release 公告与 [CHANGELOG.md](./CHANGELOG.md)。

## 漏洞公告
安全修复的公开信息会同步到 Release Notes 与 CHANGELOG，敏感细节将在
修复发布一段时间后再补充披露，避免影响未升级用户。