# 安全政策

## 支持的版本

我们为以下版本提供安全漏洞修补：

| 版本   | 支持状态           |
| ------ | ------------------ |
| 0.11.x | :white_check_mark: |
| < 0.11 | :x:                |

## 报告漏洞

我们非常重视 SAHI 的安全性。如果您发现了 SAHI 中的安全漏洞，请按以下方式向我们报告。

### 报告方式

**请勿通过公开的 GitHub Issues 报告安全漏洞。**

请通过以下方式之一进行报告：

1. **GitHub 安全公告**（推荐）
    - 前往[安全公告](https://github.com/obss/sahi/security/advisories)页面
    - 点击"Report a vulnerability"
    - 填写漏洞详情

2. **邮件**
    - 通过 GitHub 向维护者发送邮件
    - 在主题中包含"SECURITY"
    - 提供漏洞的详细信息

### 报告中应包含的信息

请在报告中包含以下信息：

- 漏洞类型（例如：远程代码执行、信息泄露等）
- 与漏洞相关的源文件完整路径
- 受影响源代码的位置（标签/分支/提交或直接 URL）
- 复现问题所需的任何特殊配置
- 逐步复现步骤
- 概念验证或漏洞利用代码（如果可能）
- 漏洞影响，包括攻击者可能如何利用它

### 响应时间线

- 我们将在 **3 个工作日**内确认收到您的报告
- 我们将在 **7 个工作日**内提供详细回复，说明后续步骤
- 我们将持续告知您修复进展和完整公告
- 我们可能会要求您提供额外信息或指导

### 披露政策

- 安全问题将被优先处理
- 修复可用后，我们将：
  1. 发布补丁版本
  2. 在 GitHub 上发布安全公告
  3. 致谢您（除非您希望保持匿名）
  4. 在 CHANGELOG 中更新安全修复信息

### 用户安全最佳实践

使用 SAHI 时，我们建议：

1. **保持 SAHI 更新**至最新版本
2. **定期检查依赖项**是否存在已知漏洞
3. 处理不受信任的图像或模型时**验证输入**
4. **使用虚拟环境**隔离 SAHI 及其依赖项
5. 在生产环境中运行 SAHI 时**遵循最小权限原则**
6. 对来自不受信任来源的**模型权重保持警惕**

### 已知安全注意事项

- **模型加载**：从不受信任的来源加载模型权重时需谨慎
- **图像处理**：验证和清理图像输入，尤其是来自不受信任来源的输入
- **文件操作**：SAHI 执行文件 I/O 操作；请确保正确的权限和路径验证
- **依赖项**：某些可选依赖项（PyTorch、TensorFlow 等）可能有其自身的安全注意事项

### 安全更新

安全更新将通过以下渠道发布：

- [GitHub 安全公告](https://github.com/obss/sahi/security/advisories)
- [GitHub 发布](https://github.com/obss/sahi/releases)
- [CHANGELOG.md](changelog.md)

### 其他资源

- [GitHub 安全最佳实践](https://docs.github.com/en/code-security)
- [OWASP Top Ten](https://owasp.org/www-project-top-ten/)
- [Python 安全最佳实践](https://python.readthedocs.io/en/stable/library/security_warnings.html)

## 漏洞赏金计划

目前，我们没有漏洞赏金计划。但是，我们非常感谢负责任地向我们披露漏洞的安全研究人员。

## 联系方式

如有任何与安全相关的问题或疑虑，请通过 GitHub 联系维护者。

---

感谢您帮助保障 SAHI 及其用户的安全！
