| 版本 | 是否维护 |
|---|---|
| 0.1.x | ✅ 当前维护中 |
如果你发现了安全漏洞，请勿通过公开 Issue 披露，以免被恶意利用。
请通过以下渠道私下报告：
- GitHub Security Advisory：在本仓库点击 Security → Report a vulnerability（推荐，可私下沟通且支持协同修复）。
- 或邮件联系维护者（见仓库主页 /
git log中提交的作者邮箱）。
报告中请尽量包含：
- 漏洞类型与影响范围；
- 复现步骤（含环境：OS / Python / GPU 型号）；
- 可能的利用方式或已观察到的异常；
- 你的建议修复方案（如有）。
我们会在 72 小时内确认收到，并尽快评估与修复；修复发布后会与你确认披露时间。
- 远程写操作（
/api/shutdown、/api/settings/...）由本地 API 令牌保护，令牌存于auth.json。 auth.json已被.gitignore忽略，切勿提交（即使你本地改过也不要git add -f）。- 默认仅绑定
127.0.0.1；如需局域网访问请显式--host 0.0.0.0，并妥善保管令牌、勿泄露给他人。 - 历史数据（
history.db）、计量状态（meter.json）均为本地文件，不含凭证，但同样不应提交。
- GET 接口无鉴权：
/api/metrics、/api/cpu、/api/memory、/api/settings、/api/history、/api/export均不需要令牌。以--host 0.0.0.0运行时，任何能访问该端口的人都能读取进程列表、网卡 IP、磁盘分区、累计电费等信息。请勿在不可信网络上开放绑定。 - 令牌会被下发到页面（仅对外暴露时）：前端需要令牌才能调用写接口，因此以
--host 0.0.0.0运行时，服务端会把令牌注入index.html（__API_TOKEN__），任何能打开面板的人都能拿到令牌。默认绑定回环时不注入（本地请求本就免鉴权）。令牌仅用于区分"能读到面板的人"，不构成真正的访问控制。 - CSRF：写接口会校验
Origin头 —— 来自非本服务页面的请求一律拒绝，除非它同时携带有效令牌。因此恶意网页无法再跨站触发/api/shutdown等写操作。但携带令牌的跨站请求仍会被放行（这是让局域网面板正常工作的必要取舍），所以仍建议仅在本机或受信任内网使用。 - 依赖第三方组件：Windows 上可选集成 LibreHardwareMonitor（由其
install_lhm.bat从 GitHub Releases 下载），其安全性不在本项目保证范围内。
以上限制均已在 README「安全说明」中同步标注。若你希望改进其中任意一项（例如增加 Origin 校验、给 GET 加只读令牌、或局域网访问时改用 Basic Auth），欢迎提 Issue 或 PR。