目前我们为以下版本提供安全更新：

如果您发现了安全漏洞，请不要通过公开的 GitHub Issue 报告。

请通过以下方式私密报告安全问题：

1. GitHub Security Advisory（推荐）

   • 访问仓库的 Security 标签页
   • 点击 "Report a vulnerability"
   • 填写漏洞详情

2. 电子邮件

   • 发送详细报告到项目维护者邮箱
   • 邮件标题请注明 [SECURITY]

请在报告中包含以下信息：

• 漏洞类型（如：SQL 注入、XSS、权限绕过等）
• 漏洞位置（文件路径、函数名）
• 复现步骤
• 潜在影响
• 可能的修复建议（如有）

• 我们会在 48 小时内确认收到报告
• 我们会在 7 天内提供初步评估
• 我们会在 30 天内发布修复（视严重程度）

• 请给我们合理的时间修复漏洞后再公开披露
• 修复发布后，我们会在 Release Notes 中致谢报告者（如您同意）

使用 FileWebHook 时，请遵循以下安全建议：

• 防火墙配置：仅允许受信任的 IP 访问 HTTP 端口
• 内网部署：建议在内网环境中部署，避免直接暴露到公网
• HTTPS 代理：如需公网访问，建议使用 Nginx 等反向代理并配置 HTTPS

• 定期轮换密钥：定期重置用户的 secretKey
• 最小权限原则：仅授予用户必要的触发器权限
• 安全存储：妥善保管 userId 和 secretKey，避免泄露

• 文件权限：确保触发器文件夹的访问权限最小化
• 日志监控：定期检查执行记录，发现异常及时处理
• 更新维护：及时更新到最新版本以获取安全修复

FileWebHook 已实施以下安全措施：

• 所有 API 调用需要 userId + secretKey 验证
• 密钥使用 UUID 格式，具有足够的随机性

• 用户只能触发已授权的触发器
• 权限检查在服务端执行

• 请求体大小限制（1MB）
• JSON 嵌套深度限制（10 层）
• 对象字段数量限制（100 个）
• 危险字符模式检测（路径遍历、XSS 等）

• 本地 SQLite 数据库存储
• 敏感信息不记录在日志中

本软件按"原样"提供，不提供任何明示或暗示的担保。用户应自行评估安全风险并采取适当的保护措施。