> For the complete documentation index, see [llms.txt](https://docs.ipcheck.ing/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.ipcheck.ing/developer/zh-tw/contributing/security-policy.md).

# 安全政策

如何負責任地回報安全漏洞。

MyIP 處理網路診斷、IP 資料，以及可選的第三方 API 金鑰。如果你發現漏洞，專案希望聽到你的回報。

本頁重現 [`SECURITY.md`](https://github.com/jason5ng32/MyIP/blob/main/SECURITY.md) 在儲存庫中。該檔案是權威版本。

## 如何回報

{% hint style="warning" %}
專案所聲明的管道是 **GitHub Issues** ——也就是用來回報錯誤的同一個追蹤器。沒有單獨的安全性電子郵件地址，也沒有記錄在案的私下通報流程。請保持回報內容基於事實，並避免在 issue 內文中公開可運作的利用方式。
{% endhint %}

{% stepper %}
{% step %}

### 開立 issue

在以下位置建立新的 issue [MyIP 問題頁面](https://github.com/jason5ng32/MyIP/issues)。請提供清楚、詳細的潛在漏洞描述，並在可行時附上重現步驟。
{% endstep %}

{% step %}

### 不要在其他地方公開揭露

在維護者有機會處理之前，不要公開散布該漏洞——無論是部落格文章、社群媒體或郵件列表。
{% endstep %}

{% step %}

### 預期在 48 小時內收到確認

專案目標是在 48 小時內回應安全回報，並確認已收到。
{% endstep %}

{% step %}

### 追蹤討論串

進度更新會發佈在 GitHub issue 討論串中。
{% endstep %}
{% endstepper %}

## 接下來會發生什麼

收到回報後，維護者會：

* 立即調查該問題。
* 開發修正並徹底測試。
* 發布包含修正的更新版本。
* 視需要提供進一步更新與修補。

回報者會在 issue 討論串中致謝；如果修正正式發布，也會在發行說明中致謝。

## 支援版本

`SECURITY.md` 並未定義支援版本政策。實務上，修正會落在最新發行版。若你自行架設，請在回報前升級到目前版本——並預期任何修正都會以新發行版提供，而非回補。

## 什麼算是安全性問題

MyIP 是一個可自架的 IP 工具箱：一個 Vue 3 SPA 加上一個會代理一組第三方資料來源的 Express API。符合這種型態的回報包括：

| 範圍    | 範例                                                                                |
| ----- | --------------------------------------------------------------------------------- |
| 秘密外洩  | API 金鑰或 MaxMind 憑證洩漏到前端套件、日誌或 API 回應中                                             |
| 存取控制  | 繞過用於保護 `/api/*` ——請參見 [安全性選項](/developer/zh-tw/configuration/security-options.md) |
| 注入    | 透過使用者提供的主機、IP 或網域進行命令、標頭或樣板注入                                                     |
| SSRF  | 讓後端透過查詢端點去抓取攻擊者選定的內部位址                                                            |
| XSS   | 未經跳脫的上游資料被渲染到頁面中                                                                  |
| 隱私外洩  | 客戶端 IP 或診斷結果流向不該去的地方，包括遙測                                                         |
| 相依性問題 | MyIP 在可達的程式碼路徑中實際使用到的脆弱套件                                                         |

<details>

<summary>通常不算安全性問題</summary>

* **缺少可選的 API 金鑰**，或在金鑰缺失時功能降級。這是預期行為——請參見 [可選的 API 金鑰](/developer/zh-tw/configuration/optional-api-keys.md).
* **應用程式顯示你自己的 IP 位址與瀏覽器指紋。** 那就是產品本身。
* **上游資料提供者的行為。** 向該提供者回報。
* **設定錯誤的部署** ——暴露的後端連接埠、缺少反向代理、你自己設定的寬鬆 CORS。請先從 [反向代理與網域](/developer/zh-tw/getting-started/reverse-proxy-and-domains.md) 與 [安全性選項](/developer/zh-tw/configuration/security-options.md).
* **未證實影響的掃描器輸出。** 請展示它如何在 MyIP 中被利用。

</details>

## 回報非安全性錯誤

一般錯誤請使用一般範本——參見 [回報問題](/developer/zh-tw/contributing/reporting-issues.md).


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://docs.ipcheck.ing/developer/zh-tw/contributing/security-policy.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.