OFbot 2 面向本地/私域部署。当前维护范围：

• main 分支最新提交。
• 最近一个里程碑版本（见 docs/CHANGELOG.md）。

请不要在公开 issue 中提交未修复的安全问题。请通过以下任一渠道私密报告：

• GitHub 仓库的 Security → Report a vulnerability（私有安全公告）。
• 直接联系仓库维护者。

报告内容建议包含：

• 影响版本与复现步骤；
• 漏洞类型（命令注入、路径穿越、越权、敏感信息泄露等）；
• 可能的影响面与修复建议。

高危漏洞会第一时间在 README 顶部安全提示与 SECURITY 公告中同步。

以下为已公开的安全相关修复，供部署版本核对：

• v1.0.7：/api/v1/* 未配置 API Key 时要求后台管理员登录会话；反向 HTTP 事件入口校验 access_token；Webhook 接收端新增可选共享密钥（恒定时间比较）。
• v1.0.6：/exports/{name}/download 对非法/逃逸路径返回 404；移除未使用的 web.secret 配置项。
• v1.0.4：/files 路径穿越返回 404；登录失败状态内存上限（10k）；批量下载 zip 归档名消毒防 zip-slip。
• v1.0.1：备份/导出路径穿越修复；API Key 恒定时间比较；移除无鉴权明文文档端点； 密码哈希迭代 200k → 600k（存量哈希登录时惰性升级）。

• 立即修改默认账户 admin/admin；公网部署必须启用 HTTPS（反向代理）并按需限制访问来源。
• 插件 zip 安装属于代码执行：仅安装可信来源的插件。
• REST API 建议配置 web.api_keys（未配置时 /api/v1/* 要求后台管理员登录会话）； 为 Webhook 接收配置 web.webhook_secret；为每个连接配置 access_token。
• 定期备份 data/ofbot2.db 与 config.yaml。
• 公网部署完整检查清单见 FAQ.md。