---
source: ../../SECURITY.md
source_version: 1.0.0
translation_version: 1.0.0
last_synced: 2026-04-22
status: current
---

# 安全政策

## 支持的版本

<!-- UDS_SUPPORTED_VERSIONS_START -->
| 版本 | 支持状态 |
|------|--------|
| 5.15.0 | ✅ 最新正式版 |
| < 5.0.0 | ❌ 已终止支持 |
<!-- UDS_SUPPORTED_VERSIONS_END -->

> **说明**：仅最新正式版与当前预发布分支会收到安全更新。

---

## 报告漏洞

### 如何报告

**请勿**以公开 GitHub issue 报告安全漏洞。

请通过以下渠道报告：

1. **GitHub Security Advisories**（推荐）
   - 前往 [Security Advisories](https://github.com/AsiaOstrich/universal-dev-standards/security/advisories/new)
   - 这能确保报告是私密且可追踪的

2. **GitHub 私密漏洞报告**
   - 前往 [报告漏洞](https://github.com/AsiaOstrich/universal-dev-standards/security)
   - 按照引导流程报告

### 报告内容

请包含以下信息：

- **描述**：清楚说明漏洞内容
- **重现步骤**：详细的重现步骤
- **影响范围**：攻击者可达成的影响
- **受影响版本**：哪些版本受影响
- **建议修复方式**：如果您有建议（选填）

### 响应时间

| 动作 | 时间 |
|------|------|
| 确认收到 | 48 小时内 |
| 初步评估 | 7 天内 |
| 修复发布（严重） | 14 天内 |
| 修复发布（非严重） | 下次排程发布 |

---

## 安全范畴

### 在范畴内

| 组件 | 说明 |
|------|------|
| CLI 工具 (`cli/`) | 命令注入、路径穿越、依赖漏洞 |
| 标准内容 (`core/`) | 可能导致不安全实现的指引 |
| GitHub Actions (`.github/workflows/`) | 工作流程注入、机密泄漏 |

### 不在范畴内

- 第三方依赖的漏洞（请报告给上游维护者）
- 采用 UDS 标准的用户项目中的问题
- 社交工程攻击

---

## 披露政策

我们遵循**协调披露**原则：

1. 报告者私下提交漏洞
2. 我们确认并评估
3. 我们开发并测试修复
4. 我们发布修复
5. 我们公开披露漏洞（附上报告者致谢）

除非报告者希望匿名，否则我们会在发布说明中致谢。

---

## 用户安全建议

在您的项目中使用 UDS 时：

- 保持 UDS CLI 为最新版本
- 采用前审阅标准（特别是 `security-standards.md`）
- 定期对项目执行 `npm audit`
- 遵循 `core/security-standards.md` 定义的安全标准
