Security Policy

# Security Policy

最後更新：2026-08-28

## 營運者與安全聯絡方式

本服務由個人營運者 CFY 提供。安全漏洞或疑似資料安全事件請寄至 carivae.job@gmail.com。請提供重現步驟、受影響功能與聯絡方式；不要在公開 issue 或郵件中附上履歷、API key、token、密碼或其他敏感資料。

## 安全模型

服務採公開瀏覽與已驗證個人功能分離的存取模型。公開職缺瀏覽不需要帳號；workspace、文件、個人分析、RAG 與個人化功能需要 authenticated user。每個 workspace 以 owner 欄位隔離，請求會在 backend 逐筆檢查擁有權。

## 已實作控制

- production 使用 HttpOnly、SameSite cookie，並透過 production compose 強制 Secure cookie。
- 登入與 session 值使用簽章驗證；密碼以 PBKDF2 雜湊保存。
- 登入、註冊、高成本 AI 操作與讀寫 API 具基本 rate limiting。
- JSON、上傳大小、檔案數、workspace quota 與遠端回應大小有限制。
- 上傳檔名會正規化，靜態路徑與遠端 URL 具 traversal／SSRF 防護。
- production secrets 由 `/etc/job-director/secrets.env` 注入，不提交至 repository。
- production 使用 GitLab Container Registry image，不在 VPS 重新 build image。

## 資料與漏洞回報

收到回報後會依影響範圍與可重現性評估，必要時限制受影響功能、修補並通知回報者。請勿嘗試存取他人 workspace、破壞服務或下載資料。

本文件不代表任何特定認證、法規合規或安全保證；實際安全性仍取決於部署設定、外部服務與使用者操作。

返回 carivae