> For the complete documentation index, see [llms.txt](https://docs.ipcheck.ing/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.ipcheck.ing/developer/zh/contributing/security-policy.md).

# 安全策略

MyIP 处理网络诊断、IP 数据以及可选的第三方 API 密钥。如果你发现了漏洞，项目方希望知道。

本页重现 [`SECURITY.md`](https://github.com/jason5ng32/MyIP/blob/main/SECURITY.md) 仓库中的内容。该文件为权威版本。

## 如何报告

{% hint style="warning" %}
项目指定的渠道是 **GitHub Issues** —— 与漏洞跟踪使用的是同一个跟踪器。没有单独的安全邮箱地址，也没有记录在案的私下披露流程。请保持报告客观，并避免在 issue 正文中发布可直接利用的漏洞代码。
{% endhint %}

{% stepper %}
{% step %}

### 创建 issue

在 [MyIP issues 页面](https://github.com/jason5ng32/MyIP/issues)上创建一个新 issue。请清楚、详细地描述潜在漏洞，并尽可能附上复现步骤。
{% endstep %}

{% step %}

### 不要在其他地方公开披露

在维护者有机会处理之前，不要公开该漏洞——无论是博客文章、社交媒体还是邮件列表。
{% endstep %}

{% step %}

### 预计 48 小时内会收到确认

项目目标是在 48 小时内对安全报告作出响应，并确认已收到。
{% endstep %}

{% step %}

### 关注该讨论串

进展更新会发布在 GitHub issue 讨论串中。
{% endstep %}
{% endstepper %}

## 接下来会发生什么

收到报告后，维护者将：

* 及时调查该问题。
* 开发修复并进行彻底测试。
* 发布包含修复的更新版本。
* 根据需要提供进一步的更新和补丁。

报告者会在 issue 讨论串中致谢；如果发布了修复，也会在发行说明中注明。

## 受支持的版本

`SECURITY.md` 未定义受支持版本策略。实际上，修复会首先进入最新发布版本。如果你自托管，请在报告前升级到当前版本——并预计任何修复都会以新版本发布，而不是回移植到旧版本。

## 什么算安全问题

MyIP 是一个可自托管的 IP 工具箱：由一个 Vue 3 SPA 和一个代理一组第三方数据源的 Express API 组成。符合这种形态的报告包括：

| 领域   | 示例                                                                                                 |
| ---- | -------------------------------------------------------------------------------------------------- |
| 机密泄露 | API 密钥或 MaxMind 凭据泄露到前端包、日志或 API 响应中                                                               |
| 访问控制 | 绕过用于保护……的 referer 检查或 IP 验证 `/api/*` —— 参见 [安全选项](/developer/zh/configuration/security-options.md) |
| 注入   | 通过用户提供的主机、IP 或域名进行命令、请求头或模板注入                                                                      |
| SSRF | 通过查找端点让后端获取攻击者选择的内部地址                                                                              |
| XSS  | 未转义的上游数据被渲染到页面中                                                                                    |
| 隐私泄露 | 客户端 IP 或诊断结果流向不应到达的地方，包括遥测                                                                         |
| 依赖问题 | MyIP 在可达代码路径中实际使用到的有漏洞的软件包                                                                         |

<details>

<summary>通常不属于安全问题</summary>

* **缺少可选 API 密钥**，或者在缺少密钥时功能降级。这是预期行为——参见 [可选 API 密钥](/developer/zh/configuration/optional-api-keys.md).
* **应用程序显示你自己的 IP 地址和浏览器指纹。** 这就是产品本身。
* **上游数据提供方的行为。** 请向该提供方报告。
* **配置错误的部署** —— 暴露的后端端口、缺失的反向代理、你自己设置的过宽 CORS。请先查看 [反向代理与域名](/developer/zh/getting-started/reverse-proxy-and-domains.md) 以及 [安全选项](/developer/zh/configuration/security-options.md).
* **没有证明影响的扫描器输出。** 展示它如何在 MyIP 中被利用。

</details>

## 报告非安全漏洞

普通 bug 请使用常规模板——参见 [报告问题](/developer/zh/contributing/reporting-issues.md).


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://docs.ipcheck.ing/developer/zh/contributing/security-policy.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.