---
title: "漏洞披露政策"
description: "如何负责任地报告安全漏洞。"
lang: zh
url: https://clavitor.ai/zh/security/disclosure
markdown: https://clavitor.ai/zh/security/disclosure.md
translation_of: https://clavitor.ai/en/security/disclosure.md
authoritative: false
publisher: Clavitor LLC
---

> This is the Chinese translation of [Vulnerability Disclosure Policy](https://clavitor.ai/en/security/disclosure.md). The original English text is authoritative; where the two differ, the English version prevails.

# 法律信息: 漏洞披露政策

我们高度重视您保管库的安全。如果您发现了漏洞，请与我们联系。

## Safe harbor

我们不会对根据本政策善意行事的安全研究人员采取法律行动。善意是指：您切实努力避免侵犯隐私、破坏数据和中断服务。

如果您遵循这些准则，我们将视您的研究为授权行为。我们将与您合作，尽快了解并解决该问题。

## Scope

以下在授权范围内：

- **clavitor.ai** — 生产环境网站
- ***.clavitor.ai** — 所有接入点 (POP) 保管库端点
- ***/api/*** — 保管库 REST API
- ***/app/*** — 保管库 Web UI
- **clavitor-cli** — 智能体 CLI
- **clavitor-proxy** — HTTPS 凭据代理
- **浏览器扩展** — Chrome、Firefox、Safari

以下不在授权范围内：

- 对员工或用户进行社会工程学攻击
- 拒绝服务攻击
- 针对基础设施的物理攻击
- 第三方服务（Paddle、Cloudflare）
- 降低服务可用性的自动化扫描

## Rules of engagement

- 请勿访问、修改或删除他人的保管库数据。
- 请勿降低服务可用性。
- 如果遇到真实用户数据，请立即停止并报告。
- 在进行任何公开披露之前，请给我们合理的时间来修复问题。
- 仅使用证明漏洞所需的最小访问权限。

## How to report

发送电子邮件至 [security@clavitor.ai](mailto:security@clavitor.ai)。对于敏感报告，请使用我们的 [PGP 密钥](https://clavitor.ai/.well-known/pgp-key.txt) 加密您的消息。

请包含：

- 漏洞描述及其潜在影响
- 复现步骤
- 任何概念验证代码或截图

## What we commit to

- 在 48 小时内确认收到您的报告。
- 在 7 天内提供有意义的评估。
- 在修复过程中随时向您通报进展。
- 在我们的[致谢页面](https://clavitor.ai/zh/security/thanks)公开感谢您——除非您希望保持匿名。

我们不运行付费漏洞赏金计划。我们提供诚挚的感谢、公开致谢，以及您帮助保护了真实用户私密数据的成就感。