English · 支持与提问

感谢帮助 FlowBus 发现安全问题。请不要在公开 Issue、PR、讨论区或社交媒体中披露可利用细节。

1. 优先发送邮件至 notwalnut@163.com。
2. 邮件标题建议使用 [FlowBus Security] 简短问题描述。
3. 如仓库已开启私有漏洞报告，也可通过 GitHub 安全入口提交。
4. 报告中请包含受影响模块、版本、复现方式、影响说明、可行的缓解建议，以及是否已公开披露。

当前正式版本见项目首页。此政策不承诺固定响应或修复时限。

维护者收到报告后会按可复现性和实际影响评估，尽量先提供修复或缓解建议，再协调公开披露。邮件报告不等于问题已确认或已有修复承诺；可在同一邮件线程补充信息，避免公开可利用细节。

如果仓库、Issue、Release 产物或 CI 日志中出现过 keystore、GPG 私钥、签名密码、token 等材料，请按泄露处理，而不是只删除工作区文件：

1. 立即吊销或更换对应密钥、证书、token 或 keystore。
2. 删除当前分支中的明文文件，并确认 .gitignore 已覆盖对应目录和后缀。
3. 评估 Git 历史、远端分支、tag、release 产物的泄露范围；重写历史或破坏性清理须与仓库维护者协调。
4. 轮换 CI secrets 和本机发布配置。
5. 在安全公告或变更记录中说明影响范围和迁移方式，但不要公开旧密钥内容。

1. 普通使用问题、构建失败、文档错误和非安全 Bug，请走 支持指南中的 Issue 流程。
2. 仅来自业务项目误用、错误鉴权、日志泄露或应用自身配置的问题，通常不属于 FlowBus 安全漏洞。
3. 第三方依赖的公开 CVE，只有在 FlowBus 引入了可利用路径或放大了影响时才按安全漏洞处理。
4. 仅依赖物理访问、已获得设备控制权或恶意调试环境的问题，通常不按高优先级漏洞处理。
5. 不提供真实影响证明的自动化扫描结果，可能会被要求补充复现信息。

1. 不要通过事件总线传递密码、token、私钥等长期敏感凭据。
2. 日志与错误处理器中不要输出完整敏感对象。
3. eventName、scopeName 和示例日志不要包含手机号、订单号、token、用户 ID 等敏感信息。