ZIT Studio 安全政策

01安全承诺

ZIT Studio 致力于维护安全、可靠、透明的开源软件生态。我们重视安全研究人员、用户及社区成员对软件安全问题的反馈，并鼓励以负责任的方式发现、报告和协助修复安全漏洞。

本政策旨在明确安全漏洞的报告渠道、处理流程、协调披露原则，以及 ZIT Studio 对安全研究人员的基本承诺。

我们将尽合理努力及时响应安全报告、评估潜在风险、修复确认的问题，并在适当情况下公开安全公告。

02适用范围

本政策适用于由 ZIT Studio 实际维护或控制的项目，包括但不限于：

• ZIT Studio 官方 GitHub 组织及其维护的代码仓库。
• ZIT Studio 发布的软件、软件包、安装程序及其官方分发渠道。
• ZIT Studio 实际运营或管理的官方网站及相关在线服务。
• 由 ZIT Studio 明确纳入安全维护范围的其他项目或组件。

对于第三方维护的依赖项、外部服务、上游项目及其他不受 ZIT Studio 控制的系统，我们会在必要时向相应维护者或服务提供方报告问题，并在合理范围内协助协调。

请注意：在一个项目中发现漏洞，并不意味着该项目的所有上游依赖、第三方服务或关联系统都属于本政策的授权测试范围。

03如何报告安全漏洞

如果你发现了可能影响 ZIT Studio 项目或服务安全的问题，请优先通过以下渠道报告：

1. GitHub Private Vulnerability Reporting：如果目标仓库已启用该功能，请在仓库的 Security 页面提交私密漏洞报告。
2. GitHub Security Advisories：如果目标仓库支持该功能，可使用私密安全公告流程与维护者沟通。
3. 项目官方联系方式：如果以上渠道不可用，请通过相应仓库 README、官方网站或其他公开维护者联系方式联系团队，并明确说明这是安全漏洞报告。

请勿将尚未修复、可能影响用户的漏洞细节直接发布到公开 Issue、Discussion 或其他公开渠道。

建议提供的信息

为了帮助我们更快地复现和评估问题，报告最好包含：

• 受影响的项目名称、仓库地址及版本号。
• 漏洞类型及其潜在影响。
• 复现步骤和必要的技术细节。
• 在安全且合法的前提下获取的日志、截图或最小化验证材料。
• 可能的修复建议或缓解措施（如有）。
• 你的联系方式，以便维护者跟进。

无需为了提交报告而提供真实姓名、身份证明或其他与漏洞验证无关的个人信息。

04漏洞处理流程

收到安全报告后，ZIT Studio 将尽合理努力按照以下流程处理：

1. 接收与确认：确认报告已收到，并与报告者建立必要的沟通。
2. 复现与评估：尝试复现漏洞，确定受影响的组件、版本、利用条件及潜在影响。
3. 风险分类：根据实际影响、可利用性、受影响范围等因素确定处理优先级。
4. 修复与缓解：开发、测试并发布修复版本，或在暂时无法彻底修复时提供适当的缓解措施。
5. 协调披露：与报告者及必要的上游维护者协调公开时间和公告内容。
6. 公开公告：在适当情况下发布安全公告，说明受影响范围、修复版本及用户应采取的措施。

我们会根据漏洞严重程度、实际影响、维护资源及修复复杂性调整处理顺序。对于正在被利用或可能造成重大影响的问题，将优先进行评估和处置。

05响应时间目标

为提高安全处理流程的透明度，ZIT Studio 采用以下目标时限：

以上均为目标时限，而非无条件的服务保证。复杂漏洞、上游依赖问题、维护者不可用或需要协调第三方的情况，可能导致处理时间延长。

如果预计无法达到目标时限，我们会尽合理努力告知报告者原因及后续计划。

06协调漏洞披露

ZIT Studio 倡导协调漏洞披露（Coordinated Vulnerability Disclosure，CVD）。

在漏洞修复及公告准备期间，我们原则上会与报告者协商合理的披露时间，以便受影响用户有机会采取防护措施。

在没有特殊风险或其他必要情况时，双方可以参考首次有效报告后 90 天作为协调披露的讨论基准，但这并非强制等待期或绝对截止日期。

如果漏洞已被公开利用、涉及重大风险，或需要提前发布安全公告，我们可能在合理范围内提前披露必要信息。对于延迟披露的请求，我们会结合修复进展、用户风险及相关事实进行评估。

安全公告可以包含：

• 漏洞的简要说明及影响范围。
• 受影响和已修复的版本。
• 可行的升级、修复或缓解措施。
• 适当的致谢信息。
• 在适用情况下提供的 CVE 编号或其他安全公告标识符。

未经必要评估，我们不会为了满足披露时限而公开可能直接帮助攻击者利用未修复漏洞的敏感技术细节。

07CVE 与漏洞编号

在符合适用规则及相关授权的前提下，ZIT Studio 将根据漏洞的性质和影响，考虑申请或协调分配 CVE 编号。

对于符合条件且属于团队授权范围的漏洞，我们可能通过适当的 CVE 编号分配渠道、相关 CNA（CVE Numbering Authority）机构或上游项目进行协调。

获得 CVE 编号并不代表漏洞已经修复，也不自动意味着所有受影响项目均已得到处理。

如果漏洞涉及第三方软件或上游项目，我们会尽可能与相关维护者协调编号分配，避免重复编号及不必要的披露冲突。

08安全研究人员保护原则

在法律允许的范围内，且研究人员遵守本政策并以善意方式开展安全研究的前提下，ZIT Studio：

• 不会仅因研究人员依据本政策提交漏洞报告，就主动采取针对其本人的法律行动。
• 不会仅因研究人员善意提交漏洞报告，就要求其承担与正常报告行为无关的责任。
• 尊重研究人员在公开披露时提出的合理署名或匿名请求。
• 鼓励在报告和公告中对有实质贡献的研究人员进行适当致谢。
• 不要求研究人员为了证明漏洞而访问、修改、删除或公开无关的用户数据。

上述原则不构成法律豁免、法律代理或对第三方行为的保证，也不授权任何违反适用法律、第三方规则或其他明确授权边界的活动。

09安全研究行为准则

我们鼓励研究人员在不扩大风险的前提下开展验证，并遵循以下原则：

• 仅进行验证漏洞所必需的最小化测试。
• 不访问、收集、修改或公开与验证漏洞无关的数据。
• 不进行未经授权的拒绝服务测试、破坏性操作或大规模自动化攻击。
• 不将漏洞用于窃取凭据、侵入无关系统或影响其他用户。
• 如果发现意外获取的敏感数据，应停止进一步访问，并在报告中说明情况。
• 发现问题可能造成现实中的持续危害时，应优先停止测试并及时通知维护者。

对于超出本政策范围的系统，请先获得相关系统所有者的明确授权。

10支持版本与安全维护

ZIT Studio 会根据项目的维护状态、发布策略及实际维护能力决定安全支持范围。

对于仍在维护的版本，我们会尽合理努力评估已确认的安全问题，并在必要时发布修复版本或安全公告。

对于已停止维护、已归档或不再受支持的项目和版本，我们可能无法提供修复。用户应关注项目公告，并在条件允许时升级至受支持的版本。

依赖项出现安全问题时，我们会根据实际影响判断是否需要升级依赖、应用补丁、调整配置或采取其他缓解措施。

11政策更新

ZIT Studio 可能根据项目发展、漏洞处理经验、适用法律及安全行业实践更新本政策。

更新后的内容将通过官方网站或相关项目仓库公开。除非另有明确说明，政策更新不应被解释为对过去行为的追溯授权。

如果你对本政策、漏洞报告流程或安全公告有疑问，请通过 ZIT Studio 官方网站或相关项目仓库列出的联系方式与团队联系。