# 安全政策

## 报告安全漏洞

如果你发现安全漏洞，**请不要在 GitHub Issues 中公开报告**。

请发送邮件至 **security@aineos.dev**，我们将在 48 小时内回复。

请在报告中包含：

- 漏洞的详细描述
- 复现步骤
- 受影响的版本范围
- 可能的修复建议（如适用）

## 支持的版本

| 版本 | 安全支持 |
|------|----------|
| 1.9.x | 完全支持 |
| 1.8.x | 安全更新至 2026-12-31 |
| < 1.8 | 不支持 |

## 安全最佳实践

### API Key 管理

- 不要在代码仓库中提交 API Key
- 使用环境变量或 `.env` 文件（已加入 `.gitignore`）
- 定期轮换 API Key

### JWT Token

- Access Token 有效期：15 分钟
- Refresh Token 存储在 httpOnly Cookie 中
- 生产环境必须启用 HTTPS

### 密码要求

- 最小长度：8 字符
- 必须包含：大写字母、小写字母、数字
- 建议使用 bcrypt (cost factor >= 10)

## 已知漏洞披露

AINEOS 遵循 90 天负责任披露政策。安全更新将在发布前 7 天通知订阅用户。

---

© 2026 AINEOS Project
