安全¶
报告漏洞¶
请使用 GitHub 私密安全通告。
不要在公开 Issue 中披露未修复的漏洞、利用细节、凭据或用户数据。
报告时请提供：
- 影响版本与部署方式；
- 复现步骤或最小样例；
- 影响范围；
- 建议修复方向（可选）。
支持范围¶
| 版本 | 支持 |
|---|---|
| 1.x | 是 |
| 0.x | 否 |
安全模型¶
- 默认只监听回环地址，由反向代理提供 HTTPS。
- 单管理员账户；密码使用 scrypt，Token 使用 SHA-256。
- 凭据来自环境变量或 0600 配置文件，不写入日志和页面。
- 所有文件路径经过受管根校验，拒绝绝对路径、
..和符号链接逃逸。 - 封面下载限制为公网 http/https 地址，防止 SSRF。
- 写操作有租约、备份、校验和回滚。
- 删除进入回收站，不直接 unlink。
部署加固¶
- 不要把
8080直接暴露到公网。 - 反向代理传
X-Forwarded-Proto，并启用 HSTS。 - 使用强密码，定期轮换 API Token。
data/和config/按敏感数据保护，权限设为0700/0600。- 定期更新镜像和依赖。
- 不需要写入时设置
policy.write_enabled = false。 - 只读审计时使用
read_only = true或:ro挂载。
不在范围¶
- 用户曲库中已有恶意文件导致的解析问题（请同时报告给解析库）。
- 反向代理、Docker、操作系统自身的漏洞。
- 因公开暴露端口、弱密码、泄露 Token 导致的入侵。
- 第三方来源（MusicBrainz、LRCLIB、QQ、网易云）的内容准确性。