安全
安全与漏洞披露
这一页说明我们做了什么、还没做什么，以及你发现问题时应该找谁。 我们欢迎任何人验证下面每一条描述，而不是只相信文字。
01
安全实践
| 环节 | 做法 | 如何核验 |
|---|---|---|
| 传输 | 全站 HTTPS，登录与 API 不接受明文 HTTP | 浏览器地址栏证书、任意 HTTP 请求自动跳转 |
| 会话 | Cookie 设置 HttpOnly、SameSite=Lax，HTTPS 下附加 Secure | 开发者工具 → Application → Cookies |
| 身份 | OIDC 授权码 + PKCE，业务服务不接触密码 | 登录时地址栏跳转域名与回调参数 |
| 数据边界 | 服务端不保存浏览器环境、Cookie、指纹配置 | 见信任中心 · 数据流向 |
| 操作留痕 | 管理端关键操作记录操作人、时间、对象 | 产品内「操作日志」模块 |
| 依赖更新 | 服务端与身份服务随上游安全版本更新 | 更新日志 |
02
下载与完整性
安装包统一从 browser-cdn.unb.ink 分发，下载页公布文件的 SHA256 值。
校验一致，说明你拿到的文件与我们发布的一致；不一致则说明传输被替换或你下载了第三方镜像，请丢弃并重新从下载页获取。
- Windows 校验命令：
certutil -hashfile 文件名.exe SHA256 - 第三方扫描结果：下载页提供 VirusTotal 查询入口，检出情况由第三方引擎实时给出
- 代码签名：我们正在申请安装包代码签名证书。在此之前，请以上述哈希与扫描结果为准；取得后会在下载页注明签名主体名称
请勿从网盘、论坛附件或他人转发的安装包安装本软件。这类文件无法用官方哈希校验，是假冒与捆绑的重灾区。
03
漏洞披露政策
我们接受善意安全研究，并承诺不因合规的报告采取法律行动。请遵守以下约定：
- 只针对你自己拥有或明确获授权的账号、环境进行测试
- 不要访问、修改、下载他人的数据，不要破坏服务可用性
- 不要使用自动化扫描对生产环境施压；发现越权后立即停止并保留最小必要证据
- 在修复发布前不要公开细节，我们会在修复后与你商定披露时间
站点根目录的 security.txt 是本政策的机器可读入口，包含联系人、披露语言与有效期。
04
响应流程
| 阶段 | 时限 | 我们会做什么 |
|---|---|---|
| 受理确认 | 1 个工作日内 | 回复已收到报告，必要时索取复现信息 |
| 初步判断 | 5 个工作日内 | 给出影响范围与是否受理的结论 |
| 修复 | 按严重程度 | 高危优先修复，并在更新日志中说明（不暴露攻击细节） |
| 公开 | 修复后 90 天内 | 与报告者商定披露时间；如你同意，我们在本页致谢 |
如果 5 个工作日内没有收到回复，请再发一封并在标题标注「第二次发送」，避免被邮件网关吞掉。
05
范围与免责
以下情况不属于本政策受理范围：
- 依赖过期浏览器或已被官方废弃的组件导致的问题（请先升级到最新版本复测）
- 缺少安全响应头的评级类扫描结果（可作为建议提交，不计入漏洞）
- 社会工程、钓鱼、物理接触设备、第三方服务（支付、邮件、CDN）自身的问题
- 需要用户主动安装恶意软件或关闭系统防护才能触发的场景
- 自动化工具产生的纯理论性报告，且无可用复现步骤
我们目前不提供漏洞赏金，但会在征得同意后公开致谢报告者。请不要以公开施压替代沟通。
06
如何报告
发送邮件至 security@unb.ink，建议包含：
- 受影响的地址或客户端版本
- 复现步骤（越具体越好，附截图或录屏）
- 你观察到的影响，以及是否已尝试最小化验证
- 期望的署名方式（真名、ID 或匿名）
非安全问题（功能缺陷、账号与订单）请走 support@unb.ink 或客户端内反馈入口，以免与安全队列混淆。