MeBox/SECURITY.md

# 安全策略

MeBox 是自托管媒体系统，常部署在 NAS、家庭网络、Docker、反向代理和第三方下载器环境中。安全问题通常会同时涉及应用代码、容器配置、路径映射、站点 Cookie / API Key、下载器凭据和外部访问入口。请按本策略报告和处理安全问题。

## 支持范围

我们优先支持以下版本和部署方式的安全修复：

- 当前 `main` 分支。
- 最新发布镜像：`ghcr.io/truewhile/mebox:latest`。
- README 中推荐的 Docker Compose 第一档、第二档、第三档部署方式。

历史版本、私有魔改镜像、未公开补丁分支和非标准部署仍可报告，但维护者可能要求先在最新 `main` 或最新镜像中复现。

## 如何报告安全漏洞

请不要在公开 Issue、PR、讨论区或群聊中披露可利用细节。优先使用 GitHub Security Advisory 私密报告：

<https://github.com/truewhile/MeBox/security/advisories/new>

如果无法使用 GitHub 私密报告，可以先通过项目 README 中的社区入口联系维护者，说明“需要私下报告安全问题”，不要直接贴出利用细节、密钥或完整日志。

报告时请尽量提供：

- 影响范围：认证绕过、权限提升、敏感信息泄露、任意文件读写、命令执行、SSRF、路径穿越、下载器凭据泄露等。
- 复现环境：部署方式、镜像版本或 commit、NAS / 系统、Docker / Compose 版本、是否有反向代理。
- 复现步骤：最小可复现路径、请求、页面操作或配置条件。
- 影响证明：截图、脱敏日志、请求响应、数据库字段名等。
- 缓解建议：如果你已经验证过可行修复或临时规避方式，请一并说明。

请务必脱敏：

- 站点 Cookie、Passkey、API Key、YemaPT Auth Key、M-Team API Key。
- qBittorrent / Transmission / Aria2 用户名密码。
- Telegram Bot Token、JWT、数据库密码、反代访问 Token。
- 私有下载链接、媒体库真实敏感路径、用户个人信息。

## 响应流程

维护者会尽力按以下节奏处理：

- 3 个工作日内确认收到报告。
- 7 个工作日内给出初步影响判断、复现状态或需要补充的信息。
- 高危问题优先修复，并在可行时提供临时缓解建议。
- 修复发布后，再公开披露必要信息；公开内容会避免包含可直接滥用的细节。

如果问题需要更长时间修复，例如涉及数据迁移、权限模型、第三方站点 API 或下载器协议，我们会在私密报告中同步进展。

## 安全问题范围

欢迎报告：

- 未授权访问管理接口、媒体库、下载任务、站点配置或用户数据。
- 普通用户越权执行管理员操作。
- 读取或写入容器可访问范围外的文件。
- 通过路径映射、整理入库、STRM、图片代理、字幕、备份恢复等功能触发路径穿越。
- 泄露 Cookie、API Key、下载器密码、Telegram Token、JWT 或数据库凭据。
- SSRF、任意重定向、反代信任边界错误。
- Docker Compose 示例中可能导致默认暴露敏感服务的问题。
- 日志中输出敏感信息或无法脱敏的问题。

通常不按安全漏洞处理：

- 需要管理员主动填写恶意配置才能触发、且不会突破管理员已有权限的问题。
- 只影响个人私有魔改版、无法在最新主分支复现的问题。
- 已经失效的依赖告警，且没有可达利用路径。
- 没有安全影响的 UI 显示问题、普通功能 Bug 或性能问题。

## 自托管安全基线

部署 MeBox 时建议：

- 首次登录后立即修改默认 `admin / admin123`。
- 不要把 PostgreSQL、Redis、OpenSearch、qBittorrent WebUI 暴露到公网。
- 反向代理公网访问时启用 HTTPS，并限制管理后台访问来源。
- 使用强随机的 JWT / 加密密钥，妥善备份 `./data` 和数据库。
- 不要在 Issue、PR、截图或日志中公开站点 Cookie、API Key、Passkey、下载器密码。
- Docker `volumes` 只挂载 MeBox 需要访问的目录，媒体库目录需要写入时再授予写权限。
- 定期更新镜像，并在升级前备份 `./postgres` 和 `./data`。

## 安全修复 PR

安全修复 PR 请遵循 [贡献规范](CONTRIBUTING.md)，但不要在公开 PR 中暴露可利用细节。必要时先通过私密安全报告确认修复方案，再提交脱敏后的补丁。