安全与防护声明

一、已启用的防护

• 全站限流：插件中心与插件商店按来源 IP 限制为 12 请求/秒（突发 40），并限制单 IP 并发连接数。
• 下载限流：安装包下载按 IP 限制为 20 次/分钟、并发 3；插件包下载约 9 次/分钟，接口层超限会附带 Retry-After。触发后统一返回 429。
• 登录保护：管理后台密码连续错误 6 次将锁定 30 分钟；异常 IP 在 10 分钟内触发 120 次拦截会被自动封禁 30 分钟。管理员可将固定 IP 加入登录白名单，该 IP 登录时不受限流与锁定影响。
• 通行密钥与设备锁：管理后台支持标准 WebAuthn 通行密钥（Touch ID / iCloud 钥匙串），也保留严格绑定单一浏览器的旧版设备密钥；开启「仅通行密钥登录」后密码登录会被拒绝，只有已注册的通行密钥可以通过验证。
• 探测拦截：对 .env、.git、wp-admin、phpmyadmin 等常见扫描路径直接返回 403。
• 安全响应头：HSTS、X-Content-Type-Options、X-Frame-Options、Referrer-Policy、Permissions-Policy。
• 慢连接缓解：收紧请求头、请求体与发送超时，降低慢速攻击占用的连接资源。
• 安全看板：管理后台可查看请求量、独立 IP、下载次数、拦截次数、登录失败、Top IP / 路径与实时事件。

二、防护边界

以上措施主要缓解应用层（L7）的刷量与滥用。对于大流量网络层（L3/L4）DDoS，单机 nginx 无法替代云厂商的流量清洗能力；当攻击流量接近服务器带宽上限时，需要启用腾讯云 DDoS 基础防护 / 高防或 EdgeOne 等边缘防护。我们会在攻击发生时按预案升级防护，并在必要时临时收紧限流阈值。

三、对开发者的约定

• 请勿脚本化高频轮询插件列表、版本信息或下载接口；客户端应做本地缓存与退避重试。
• 下载与更新检查遵循 ETag / Last-Modified，避免无意义重复请求。
• 发现接口异常或误伤，请通过下方支持渠道反馈，并附上时间、IP 与请求路径。

四、日志与隐私

• 为安全防护与运行统计，服务器会记录请求时间、来源 IP、User-Agent、请求路径与状态码。
• 这些数据仅用于攻击识别、限流与故障排查，不用于广告画像，不出售或提供给第三方。
• 通行密钥的私钥由系统钥匙串或浏览器保管，不会发送到服务器；服务器只保存公钥与设备信息。
• 访问日志按运维需要保留并定期清理，安全统计仅保留近期汇总数据。

五、漏洞报告

如果你发现本站存在安全漏洞，请通过 支持页面 私下联系我们，并尽量提供复现步骤。请在修复完成前不要公开漏洞细节。

六、更新记录

• 2026-11-10：首次发布。启用全站与下载限流、登录锁定与自动封禁、管理后台通行密钥与设备锁、安全看板、安全响应头与探测拦截。