最近更新日期：2026 年 9 月 3 日
1. 当前已实现
- 身份认证：密码使用 Argon2 哈希；访问令牌具有可配置有效期。
- 租户边界：业务 API 按 tenant_id 查询，并验证用户与租户均处于启用状态。
- 角色权限：区分 Owner、Admin、Member、Viewer；Owner 权限不能由 Admin 授予。
- 文档入口：限制文件类型与大小，并在完成上传时核对对象实际大小。
- 文档渲染：转义非可信内容，并禁止 PDF 渲染器访问外部网络和本地文件。
- 支付结算：校验供应商签名、商户字段、金额、币种和租户，并对回调事件去重。
2. 配置与日志
- 生产密钥必须通过环境配置注入，仓库仅提供无真实凭据的示例文件。
- API 日志包含 request_id 和请求耗时；默认不记录文档正文、令牌或支付回调原文。
- TLS、WAF、数据库与对象存储加密属于部署环境控制，须在目标环境单独验收。
3. 当前限制
- 尚未完成独立渗透测试、SOC 2、ISO 27001 或其他正式安全认证。
- 尚未提供 SSO、SCIM、MFA、数据库 RLS 和完整平台管理员控制面。
- 尚未建立可对外承诺的备份保留、RPO/RTO、灾备演练和日志保留 SLA。
- 尚未宣称数据库字段级加密或模型供应商零数据保留；相关能力需以实际合同和部署配置为准。
4. AI 与专业判断
- 模型输出不能替代政策原文、主管部门意见或专业顾问判断。
- 资格判断在证据不足或硬门槛不满足时会降级，并保留人工复核入口。
- 启用第三方模型前，客户应确认数据处理区域、保留政策与合同条款。
5. 漏洞报告
请勿公开披露疑似漏洞。请通过 [email protected] 私下联系，并从复现材料中移除凭据和客户数据。