SECURITY.zh-CN.md

Rama main · réplica de lectura del repositorio original.

# 安全策略

## 报告安全漏洞

请不要通过公开 GitHub Issue 报告疑似安全漏洞。

请将安全报告发送至 [admin@kageos.ai](mailto:admin@kageos.ai)。如果安全，建议包含：

- 问题简述和可能影响。
- 受影响版本、分支、commit 或部署模式。
- 复现步骤、PoC、日志或截图。
- 是否可能导致密钥泄露、租户数据泄露、工作区文件泄露或远程代码执行。
- 你希望我们在公开致谢中如何称呼你。

维护者会尽快确认收到报告、判断严重程度，并在公开披露前协调修复或缓解方案。

## 推荐语言

中文或英文皆可。

## 披露流程

- 采用协调披露。请给予维护者合理时间完成确认、修复和发布。
- 请不要在修复发布前公开利用细节。
- 修复发布后，如报告者同意，我们可以在 release note、security advisory 或项目致谢中注明贡献。

## 支持版本

项目源码已经公开。正式的版本化支持矩阵发布前，安全修复优先面向当前 `main` 分支和仍在维护的 release 分支。

## 敏感数据规则

请不要提交：

- 真实 `.env` 文件或生成的部署配置。
- 生产 `kage.yaml` 文件。
- 客户 license、私钥、token、密码或 API 凭据。
- `namespace/`、`local/`、运行时数据库、对象存储数据、日志或生成的部署产物。

新增日志或诊断信息时，只在必要时记录存在性、长度、稳定 ID 或脱敏前缀。不要记录 bearer token、生成密码、license secret 或原始客户数据。

## 部署加固

生产部署请阅读部署文档和 `deploy/security/` 下的容器隔离材料。请在环境中明确外部入口、数据库、对象存储、NATS 和生成应用运行时之间的边界。