> ## Documentation Index
> Fetch the complete documentation index at: https://docs.fim.ai/llms.txt
> Use this file to discover all available pages before exploring further.

# 安全性

> 如何报告漏洞、响应时间表以及自托管 FIM One 部署的安全最佳实践。

FIM One 非常重视安全性。如果您发现漏洞，我们希望听到您的反馈 — 我们将为您的负责任披露提供致谢。

## 报告漏洞

<Warning>
  **不要为安全漏洞开设公开的 GitHub issue。** 请使用以下私密渠道之一。
</Warning>

**两种报告方式：**

1. **GitHub Security Advisories**（推荐）— [创建私密公告](https://github.com/fim-ai/fim-one/security/advisories/new)。在发布修复之前，只有维护者可以看到。
2. **电子邮件** — 将详情发送至 **[security@fim.ai](mailto:security@fim.ai)**，包括描述、复现步骤、受影响的版本和影响评估。

对于低严重性问题（例如，不会暴露敏感数据的缺失安全标头），你可以使用 `security` 标签开设常规 GitHub issue。

## 响应时间表

| 阶段       | 目标                     |
| -------- | ---------------------- |
| **确认**   | 48 小时内（工作日）            |
| **初步评估** | 5 个工作日内                |
| **修复开发** | 严重：立即。高：2 周。中/低：下一个版本。 |
| **公开披露** | 修复发布后，用户有时间更新          |

## 范围

### 范围内

* 身份验证和授权绕过
* SQL 注入、命令注入或代码执行
* 跨站脚本 (XSS) 或跨站请求伪造 (CSRF)
* 凭证或 API 密钥泄露
* 用户或组织之间的权限提升
* 跨租户边界的数据泄露

### 超出范围

* 第三方依赖中的漏洞（向上游报告；我们通过 Dependabot 进行监控）
* 社会工程攻击
* 没有现实攻击向量的拒绝服务 (DoS)
* 仅影响演示/云环境而不影响自托管部署的问题

## 自托管安全最佳实践

如果您在自己的基础设施上运行 FIM One，请遵循以下建议来加强您的部署。

<Tip>
  这些实践适用于生产部署。对于本地开发，默认设置即可。
</Tip>

| 实践                     | 详情                                                         |
| ---------------------- | ---------------------------------------------------------- |
| **保护 `.env`**          | 将其排除在版本控制之外（`.gitignore` 默认包含它）。将文件权限限制为仅应用程序用户。           |
| **强 `JWT_SECRET_KEY`** | 使用密码学随机值（至少 32 个字符）。切勿在环境之间重复使用密钥。                         |
| **使用 TLS 的反向代理**       | 在 nginx、Caddy 或启用 HTTPS 的云负载均衡器后面运行。切勿直接向互联网公开应用程序端口。      |
| **使用 PostgreSQL**      | SQLite 适合开发和单用户设置。对于多用户生产部署，使用 PostgreSQL 以获得适当的并发性和数据完整性。 |
| **保持更新**               | 定期拉取最新版本。安全补丁会尽力向前一个次要版本回溯。                                |
| **限制网络访问**             | 将数据库和应用程序端口限制为受信任的网络。使用防火墙规则或安全组。                          |

## 安全名人堂

我们感谢所有已确认的漏洞报告者（除非他们选择保持匿名）。报告者还可以获得[先锋计划](/contributing)的资格。

| 研究员                                                                | 发现                                               | 严重程度 |
| ------------------------------------------------------------------ | ------------------------------------------------ | ---- |
| [Joshua Medvinsky](https://github.com/Joshua-Medvinsky) (FailSafe) | 通过IPv4映射IPv6地址（`::ffff:` 字面量）绕过SSRF，到达双栈主机上的内部服务 | 高    |
| [Joshua Medvinsky](https://github.com/Joshua-Medvinsky) (FailSafe) | 通过未验证的MCP SSE / Streamable-HTTP服务器URL进行SSRF      | 高    |

## 完整安全政策

本页总结了要点。如需完整的安全政策，请参阅 [GitHub 上的 SECURITY.md](https://github.com/fim-ai/fim-one/blob/master/SECURITY.md)。