# 安全说明

## 报告漏洞

如发现安全相关问题，请通过 [Issues](https://github.com/yan-mc/dsh-normify/issues) 报告（如有敏感信息请先邮件联系维护者），不要先公开细节。

## 安全姿态

- **无遥测、无网络访问**：插件运行时不发起任何出站请求。
- **无凭据处理**：不读取、不存储、不转发任何凭据。
- **无后台服务**：不注册定时器、守护循环或常驻进程。
- **无 install/postinstall 脚本**：安装过程不执行任何第三方代码。
- **写白名单**：`normify.module.*` 等写工具只允许操作 `normify-*` 结构数据目录；仓库访问只读。
- **fail-closed**：任何校验 error 都会阻断产物生成（不产出损坏的 tree.json / HTML）。
- **路径安全**：`source.path` 强制 repo 相对路径（禁 `..`、绝对路径、反斜杠），渲染跳转链接经过 URL 拼接前校验。
- **HTML 注入防护**：查看器对模块文案做 HTML 转义；嵌入 tree.json 时转义 `<` 防止提前闭合 `<script>`。

## 已知边界

- 结构数据目录由使用者自管（建议纳入 git 跟踪以便审查与回滚）。
- `normify.sync` 依赖 git 可用；无 git 时该工具会如实报错。