报告安全问题

发现 evstats 的安全漏洞，请私下报告，不要在公开的 Issue、Discussions 或 PR 里讨论。完整的安全策略在源码仓库根目录的 SECURITY.md。

怎么报告

发邮件到 security@mosong.cc，尽量包含：

• 受影响的版本（evstats version 的输出）或 SDK 版本；
• 部署方式（Compose、二进制、多节点）以及相关配置；
• 复现步骤或概念验证，能说明影响范围更好；
• 你希望在致谢里使用的名字（不需要致谢也请说明）。

邮件里不要附带真实的密钥、口令或访客数据，需要时用 evs_wk_xxx、evs_xxx 这样的占位。

处理流程

阶段	时间
确认收到	3 个工作日内
给出评估与修复计划	14 天内
发布修复	按评估结果，尽快

修复发布后在更新日志和 GitHub Security Advisory 公告，报告人同意时在公告里致谢。修复发布之前，请不要公开细节。

支持的版本

只对最新的次版本提供安全修复：最新是 X.Y 时，修复发在 X.Y.Z 这样的补丁版本里；更早的次版本请先升级。

范围

欢迎报告：越权读到别的项目的数据、绕过登录或会话、写入密钥或接口密钥泄露、SQL 沙箱被绕过、SSRF、存储型 XSS、日志或错误响应里出现口令。

以下情况不按漏洞处理：使用示例口令 change-me 部署、把 ClickHouse 或 Redis 端口暴露到公网、把 /metrics 对公网开放。这些属于部署问题，生产环境部署 里有明确要求。

evstats 自身的安全设计见 安全与隐私。