安全政策与漏洞披露

一、安全承诺

本服务的控制措施清单见《隐私政策》§7（传输加密、密钥哈希、最小权限、审计日志、进程隔离）。

我们同时公开机器可读的安全联系信息：/.well-known/security.txt。

二、披露范围

• 在范围内：本服务的主站、控制台（console）、收银台（pay）、商户 API（api）、接入文档（docs）站点的 Web 漏洞（注入、越权、认证绕过、SSRF、竞态导致的账务不一致等）。
• 不在范围内：社交工程、钓鱼、对员工的物理攻击、拒绝服务（DoS/DDoS）测试、垃圾邮件、自动化扫描器产生的未验证报告、需要 MITM 物理接入的攻击。
• 账务类：凡能证明「分录借贷不平衡」「余额与分录之和不符」「幂等键可重放」的复现，按最高优先级处理——账本一致性是本服务的生命线。

三、报告流程

• 发送至 security@gaapay.com（PGP 公钥可向该邮箱索取）；
• 包含：漏洞类型、受影响 URL/接口、复现步骤、影响评估、（可选）概念验证；
• 请勿提交真实资金或真实用户数据的截图；测试请使用沙箱环境（MODE=sandbox）。

四、安全港（Safe Harbor）

我们承诺：对善意的安全研究，只要在披露过程中遵守本页规则，不会对其提起法律诉讼或执法投诉，并视其为遵守《服务条款》禁止用途条款的例外。

研究者在安全港内的活动应：避免影响服务可用性与真实用户数据；发现可被利用的状态时立即停止并报告；在修复公开前不披露细节。

五、响应时限

• 确认收到：48 小时内；
• 初步定级：7 日内（CVSS + 可利用性 + 资金影响）；
• 修复目标：Critical 72 小时内缓解、30 日内修复；High 30 日；Medium 90 日；Low 视排期；
• 公开披露：修复上线且受影响方已获得补救后，与报告者协商披露时间线（默认修复后 90 日）。

六、致谢与赏金

对提交有效漏洞的研究者，经其同意后在安全致谢页列名（可匿名）。

对 Critical/High 级别且满足全部披露规则的报告，视资金风险提供赏金，金额按严重程度与影响面确定，具体数额不预先公开以避免数量化诱导。赏金以法币或虚拟资产支付，领取人自行承担税务义务。

重复报告以首个有效报告为准；内部人员与承包商不参与赏金。