RushWind Admin 处于活跃开发中，仅对 main 分支最新版本提供安全维护。建议始终使用最新代码，旧版本不单独维护补丁分支。

我们鼓励私下上报安全漏洞，避免在修复前被公开利用。请按以下任一方式联系：

• 微信个人号：yang_lin_bo（备注：rushwind-admin security）
• 掘金私信：通过 掘金专栏 联系维护者

上报时请尽量包含：

1. 受影响版本：commit hash 或 tag
2. 复现步骤：最小可复现的请求 / 配置 / 代码片段
3. 影响范围：是否存在越权、数据泄露、远程代码执行等
4. 建议方案：如果你已有修复思路，欢迎一并告知

1. 收到上报后，我们会在 3 个工作日内确认收悉
2. 评估严重程度并反馈初步结论（通常 7 个工作日内）
3. 修复后在 PR 中说明，必要时致谢上报者
4. 重大漏洞会在修复发布后公开披露，并标注 CVE（如适用）

请勿在修复前直接开公开 Issue 或在社交平台公开漏洞细节，以便我们协调发布。

以下场景属于本项目的安全范畴：

• 认证与授权：JWT RS256 鉴权门、refresh 双 cookie、RBAC / authz-rbac 授权引擎（接入中）、登录流程
• 多租户隔离：跨租户数据访问、越权读写
• 契约编解码面：统一四字段错误信封（code / reason / message / metadata）、content-type 解析、protojson 字段绑定中的注入 / 越权 / 信息泄露语义
• 脚手架自带业务接口的注入、越权、信息泄露
• 差分台架与 CI 门自身的凭证泄露

以下情况一般不在受理范围，但仍欢迎反馈：

• 第三方依赖自身的漏洞（请同时向上游报备，我们会跟进升级）
• 对演示环境（*.admin.gowind.cloud）进行的大规模压测 / DoS
• 使用仓库内演示密钥（jwt_public_key.pem 与 auth.yaml 内嵌密钥均为公开仓库中的演示值）部署导致的入侵——上线前必须更换
• 自定义业务代码引入的漏洞

生产部署时请特别注意：

• 更换演示密钥：JWT 签名密钥（auth.yaml）与公钥（jwt_public_key.pem）均为公开仓库中的演示值，上线前必须整对更换
• 改掉默认账号密码：演示账号 admin / Abcd@1234 仅用于演示，上线前必须修改或禁用
• 配置密钥：数据库口令、Redis 口令、对象存储凭据走环境变量 / 配置文件，不要硬编码
• 启用 TLS：传输层 TLS 由部署层终止（nginx / 负载均衡）；refresh cookie 的 Secure 属性按 TLS 自适应，但请勿在生产以明文 HTTP 暴露
• 租户隔离测试：上线前请构造跨租户访问场景验证隔离有效性
• 更新依赖：定期执行 cargo update 并关注 cargo audit 的漏洞通告

感谢每一位帮助我们提升安全性的朋友。已修复的漏洞将在征得同意后致谢上报者。