---
source: ../../SECURITY.md
source_version: 1.0.0
translation_version: 1.0.0
last_synced: 2026-04-22
status: current
---

# 安全政策

## 支援的版本

<!-- UDS_SUPPORTED_VERSIONS_START -->
| 版本 | 支援狀態 |
|------|--------|
| 5.15.0 | ✅ 最新正式版 |
| < 5.0.0 | ❌ 已終止支援 |
<!-- UDS_SUPPORTED_VERSIONS_END -->

> **說明**：僅最新正式版與當前預發布分支會收到安全更新。

---

## 回報漏洞

### 如何回報

**請勿**以公開 GitHub issue 回報安全漏洞。

請透過以下管道回報：

1. **GitHub Security Advisories**（推薦）
   - 前往 [Security Advisories](https://github.com/AsiaOstrich/universal-dev-standards/security/advisories/new)
   - 這能確保回報是私密且可追蹤的

2. **GitHub 私密漏洞回報**
   - 前往 [回報漏洞](https://github.com/AsiaOstrich/universal-dev-standards/security)
   - 依照引導流程回報

### 回報內容

請包含以下資訊：

- **描述**：清楚說明漏洞內容
- **重現步驟**：詳細的重現步驟
- **影響範圍**：攻擊者可達成的影響
- **受影響版本**：哪些版本受影響
- **建議修復方式**：如果您有建議（選填）

### 回應時間

| 動作 | 時間 |
|------|------|
| 確認收到 | 48 小時內 |
| 初步評估 | 7 天內 |
| 修復發布（嚴重） | 14 天內 |
| 修復發布（非嚴重） | 下次排程發布 |

---

## 安全範疇

### 在範疇內

| 元件 | 說明 |
|------|------|
| CLI 工具 (`cli/`) | 指令注入、路徑穿越、依賴漏洞 |
| 標準內容 (`core/`) | 可能導致不安全實作的指引 |
| GitHub Actions (`.github/workflows/`) | 工作流程注入、機密洩漏 |

### 不在範疇內

- 第三方依賴的漏洞（請回報給上游維護者）
- 採用 UDS 標準的使用者專案中的問題
- 社交工程攻擊

---

## 揭露政策

我們遵循**協調揭露**原則：

1. 回報者私下提交漏洞
2. 我們確認並評估
3. 我們開發並測試修復
4. 我們發布修復
5. 我們公開揭露漏洞（附上回報者致謝）

除非回報者希望匿名，否則我們會在發布說明中致謝。

---

## 使用者安全建議

在您的專案中使用 UDS 時：

- 保持 UDS CLI 為最新版本
- 採用前審閱標準（特別是 `security-standards.md`）
- 定期對專案執行 `npm audit`
- 遵循 `core/security-standards.md` 定義的安全標準
