| 版本 | 支持状态 | 说明 |
|---|---|---|
| v1.4.x | ✅ 受支持 | 接收安全修复，建议始终使用最新 Release |
| < v1.4.0 | ❌ 不再支持 | 不再提供安全更新，请升级到 v1.4.x |
- 仅最新 v1.4.x 版本会收到安全修复，修复随 Releases 发布。
- 安全修复也会记录在 CHANGELOG.md 的「修复」小节。
请勿在 GitHub issue、PR、讨论区或任何公开渠道披露漏洞细节。
请将报告发送至：mashuo2010az@163.com
为便于快速定位，报告建议包含：
- 受影响版本（如 v1.4.4）与操作系统版本；
- 漏洞类型与影响（是否可远程触发、是否需要同网段、是否需要管理员权限）；
- 复现步骤或最小 PoC（可附脚本 / 截图）；
- 相关日志（请先脱敏：删除会话令牌、内网 IP、个人路径等）；
- 是否已向其他方披露。
| 阶段 | 目标时限 |
|---|---|
| 确认收到报告 | 3 个工作日内 |
| 完成初步评估与定级 | 7 个工作日内 |
| 给出修复或缓解计划 | 30 天内（按严重程度排序） |
| 协调披露 | 修复版本发布后 7 天，经双方同意可调整 |
我们会与报告者保持同步；修复发布前请对漏洞细节保密。出于善意的安全研究、并按本文件流程私下报告的行为，不会被追究。
程序内置 Web 服务器（默认仅本机访问，可选同网段访问）采用以下机制：
| 机制 | 说明 |
|---|---|
会话令牌 X-NST-Token |
非回环地址的写操作（POST / PUT / PATCH / DELETE）必须携带启动时随机生成的 256 位令牌（32 字节随机数，十六进制表示）；缺失或错误返回 403。令牌使用恒定时间比较，避免时序侧信道；回环访问免令牌。 |
| 同网段访问控制（ACL） | 局域网访问默认开启：只有源 IP 落在某张本机网卡的子网内才放行，其余返回 403；关闭「允许局域网访问」后仅接受回环请求。 |
| SSRF 防护 | 测速目标仅允许 http/https、端口仅限 80/443；拒绝 localhost、.local、.internal；主机名解析出的地址必须全部为公网地址，黑名单覆盖回环、RFC1918、链路本地、CGNAT、组播 / 保留段与 IPv6 唯一本地地址；HTTP 自动重定向已关闭，逐跳校验跳转目标（最多 3 跳）。 |
| 安全响应头 | 所有响应附加 X-Content-Type-Options: nosniff、X-Frame-Options: DENY、Referrer-Policy: no-referrer。 |
| 请求体上限（256KB） | 请求体最大 256 KB，超过即拒绝，避免大请求占用内存与连接。 |
| UI 线程 2s 超时 | Web 请求对 UI 线程的等待统一 2 秒超时，超时按失败返回 503，不会无限挂起，也不会把未生效操作当成功返回。 |
其他相关加固：设置写入采用「临时文件 + 原子替换」，异常中断不丢配置；设置边界做交叉校验（非法组合返回 400 且不落盘）；对外错误信息只返回分类文案，细节仅写入日志。
在范围内
- 本仓库的 Windows 应用程序、内置 Web 服务器与 REST API；
- 会话令牌、同网段 ACL、SSRF 防护、安全响应头、请求体上限等安全机制；
- 发布脚本与 CI 配置中可能导致供应链风险的缺陷。
不在范围内
- 第三方测速 CDN / 目标站点自身的安全问题（请报告给对应站点）；
- Windows、.NET 运行时或第三方 NuGet 包的已知漏洞（请报告给上游，同时欢迎知会本项目）；
- 需要物理接触、已取得本机管理员权限或已控制用户主机的攻击场景；
- 针对本机部署的拒绝服务压测，以及自动化扫描器的原始报告（需附可复现的影响说明）；
- 社会工程、钓鱼与用户配置错误。
感谢每一位安全研究者对本项目的帮助。如报告者同意，我们会在修复发布后于 CHANGELOG.md 中致谢。