安全与漏洞报告

私下报告问题

如果您认为本作品集存在安全弱点，请发送邮件至 kunmingaden@gmail.com，主题为 Portfolio security report。请说明受影响的页面或功能、预期行为、实际结果，以及复现问题所需的最少步骤。如有帮助，可附上浏览器信息及大致发生时间。

仅分享理解问题所必需的证据。请从截图或日志中移除密码、令牌、个人信息及无关数据。如细节敏感，可先提供简短说明；请勿通过普通邮件发送秘密信息或可执行的恶意附件。本政策目前未指定公开的加密密钥。

范围及安全行为

本报告渠道适用于作品集自身的页面及应用代码，不授权测试其托管服务商、邮件服务、链接仓库、雇主、学校或其他第三方系统。这些运营方有各自的报告渠道和规则。

请使用足以确认问题且干扰最小的方法。如果测试可能暴露他人信息、修改不属于您的数据或影响可用性，请立即停止。请勿开展拒绝服务测试、批量扫描、社会工程、凭据攻击或建立持久访问。对于超出正常使用公开页面范围的主动测试，请事先获得具体许可。

本政策邀请您报告观察到的问题，并非访问系统的一般授权或法律安全港协议。它不设立漏洞赏金，也不承诺付款、公开致谢或免受第三方追究。

报告的处理

报告可用于复现和评估弱点，并确定适当的修正方式。为解决问题，可能需要与相关服务商或组件维护者分享必要细节。如有不希望分享的信息，请明确说明，并避免附上不必要的个人资料。

请在公开利用细节前留出合理的调查机会，并通过同一联系渠道讨论披露时间。本个人作品集不提供全天候事件响应，也不保证固定的确认、修复或披露期限。适用于事件的法定义务不受本政策影响。

当前的安全边界

默认静态网站没有登录、支付系统、上传服务或数据库驱动表单。已准备的 AWS 在线向导使用服务器端执行权限；访客不会获得提供商凭据。它限制请求大小、对话上下文、模型调用及共享用量。搜索工具只读取经过审核的公开作品集资料，不读取任意私人文件或网站。输入、输出及来源检查能降低风险，但不能保证事实正确或阻止所有滥用。本地历史和设置保留在浏览器存储中。可选音频不使用麦克风或远程音频服务。

源代码审查及本地自动检查只说明已测试版本的情况，不构成安全认证，也不证明已找出所有漏洞。已准备的 AWS 控制包括受限源站访问、安全响应头及共享滥用和预算计数器。在线 AI 仍关闭，等待提供商、日志及部署检查。公开 HTTPS、DNS、响应头、权限和控制行为须在启用前另行验证。请更新浏览器，并避免在任何向导模式中输入机密信息。