我们为以下版本提供安全更新：

我们非常重视 Locus 的安全性。如果你发现了安全漏洞，请负责任地披露。

请勿通过公开 Issue 报告安全漏洞。相反，请通过以下方式私下报告：

1. GitHub Security Advisories（推荐）

   • 访问 https://github.com/Versifine/locus/security/advisories
   • 点击 "Report a vulnerability"
   • 填写详细信息

2. 邮件报告

   • 发送邮件至：versifine@gmail.com
   • 邮件主题：[SECURITY] Locus 安全漏洞报告

请在报告中包含以下信息（如适用）：

• 漏洞类型（例如：缓冲区溢出、SQL 注入、命令注入等）
• 受影响的文件或组件
• 漏洞位置（文件路径、行号、函数名等）
• 复现步骤
• 概念验证代码或利用脚本（如果可能）
• 潜在影响评估
• 修复建议（如有）

1. 确认（24 小时内）

   • 我们会在收到报告后 24 小时内确认收到

2. 评估（3-5 个工作日）

   • 评估漏洞的严重性和影响范围
   • 确认是否为有效漏洞

3. 修复（取决于严重性）

   • 严重漏洞：1-7 天
   • 中等漏洞：7-30 天
   • 低危漏洞：30-90 天

4. 发布

   • 修复后发布安全补丁
   • 发布安全公告（征得报告者同意后）
   • 在 CHANGELOG 中记录

5. 致谢

   • 在安全公告中感谢报告者（除非要求匿名）

如果你在使用 Locus，请遵循以下安全建议：

# ❌ 不要这样做（暴露在公网）
listen:
  host: "0.0.0.0"
  port: 25565

# ✅ 推荐做法（限制本地访问）
listen:
  host: "127.0.0.1"
  port: 25565

• 永远不要将 API 密钥硬编码在代码中
• 永远不要将包含 API 密钥的配置文件提交到 Git
• 使用环境变量存储敏感信息

# 使用环境变量
export LOCUS_LLM_API_KEY="your-api-key"

# 或使用 .env 文件（确保添加到 .gitignore）
echo "LOCUS_LLM_API_KEY=your-api-key" > .env

• 在生产环境中使用防火墙限制访问
• 仅允许必要的 IP 地址连接
• 考虑使用 VPN 或 SSH 隧道

• 不要在日志中记录敏感信息（密码、API 密钥等）
• 定期清理旧日志文件
• 限制日志文件的访问权限

# 设置正确的日志文件权限
chmod 600 logs/locus.log

• 定期运行 go get -u 更新依赖
• 关注安全公告
• 使用 go mod verify 验证依赖完整性

• Locus 目前支持离线模式服务器
• 在线模式的加密和认证暂不支持
• 不建议在生产环境中暴露在公网

• LLM API 调用可能包含游戏内聊天内容
• 确保你信任 LLM 服务提供商
• 注意不要通过聊天泄露敏感信息

• Locus 可以看到所有客户端和服务器之间的流量
• 确保代理运行在可信的环境中
• 注意访问控制和日志审计

如果你是安全研究人员，欢迎对 Locus 进行安全审计。我们感谢负责任的披露。

• 代码审计
• 依赖漏洞扫描
• 本地渗透测试
• 协议分析

• 拒绝服务（DoS）攻击
• 社会工程学
• 物理攻击
• 对第三方服务的攻击

要接收安全更新通知：

1. 在 GitHub 上 Watch 本仓库
2. 选择 "Custom" → 勾选 "Security alerts"
3. 关注 Releases 页面

目前没有已发布的安全公告。

• 安全问题：通过 GitHub Security Advisories 或 security@example.com
• 一般问题：通过 Issues
• 讨论：通过 Discussions

感谢你帮助保持 Locus 的安全！ 🙏