我们非常重视 BlogLoom 的安全性。如果你发现了安全漏洞，请按照本指南私下报告，帮助我们及时修复。
| 版本 | 是否支持安全更新 |
|---|---|
| 1.0.x | ✅ |
| < 1.0 | ❌ |
建议始终使用最新发布版本，以获得最新的功能与安全修复。
请不要通过公开的 Issue、Pull Request 或社区讨论披露安全漏洞。
请通过以下任一方式私下报告：
- GitHub 私密漏洞报告：在仓库页面进入 Security → Report a vulnerability，通过 Security Advisory 私下提交。
- 联系维护者：通过 README 的联系我一节中的方式直接联系维护者。
报告中请尽量包含以下信息，以便我们快速定位与验证：
- 漏洞类型与影响范围（涉及的模块、接口或功能）
- 复现步骤或概念验证（PoC）
- 受影响的版本
- 可能的修复建议（如有）
- 你的联系方式（可选）
- 我们会在收到报告后尽快确认并评估漏洞。
- 确认有效后，我们会着手修复，并与你沟通修复进度。
- 修复发布后，我们会视情况在发布说明中致谢报告者。
部署与使用 BlogLoom 时，建议遵循以下安全实践：
- 首次登录后立即修改默认管理员密码。
- 为生产环境生成足够长且随机的
token.secretKey。 - 不要把数据库密码、令牌密钥、邮箱授权码或对象存储密钥提交到版本库。
- 保持依赖与运行环境及时更新，避免使用已知存在漏洞的版本。
- 通过 HTTPS 暴露服务，并合理配置防火墙与访问控制。