本文说明如何向 Claude How To 项目报告安全漏洞。

快速链接

报告漏洞

选项 1：GitHub 私密漏洞报告（推荐）

这是报告安全漏洞的首选方式。

步骤：

  1. 访问：YOUR_REPO
  2. 点击 “Report a vulnerability”
  3. 填写详情（可使用下方模板）
  4. 提交

优点：

选项 2：GitHub 安全警报（依赖漏洞）

如果你在依赖中发现漏洞：

  1. 访问：YOUR_REPO
  2. 查看警报
  3. 提交包含修复的 pull request
  4. 加上 security 标签

选项 3：私密邮箱（GitHub 不可用时）

如果你无法使用 GitHub 的报告系统：

即将提供：这里会补充安全联系邮箱

目前请优先使用上面的 GitHub 私密漏洞报告。

漏洞报告模板

报告漏洞时可使用以下模板：

**标题**：[漏洞简述]

**严重性**：[Critical/High/Medium/Low]
Estimated CVSS Score: [0-10]

**类型**：[代码/文档/依赖/配置]

**受影响组件**：
- File: [path/to/file.py]
- Section: [文档章节名，如适用]
- Version: [latest/具体版本]

**描述**：
[对漏洞的清晰说明]

**潜在影响**：
[攻击者可以利用该漏洞做什么？]
[可能影响哪些人？]

**复现步骤**：
1. [第一步]
2. [第二步]
3. [第三步]
[预期结果与实际结果]

**PoC**（如有）：
[用于演示漏洞的代码或步骤]

**建议修复**：
[你的建议方案，如有]

**附加上下文**：
[任何其他相关信息]

**你的信息**：
- Name: [你的名字或匿名]
- Email: [你的邮箱]
- Credit: [你希望如何署名，如有]

提交后会发生什么

时间线

  1. 立刻（< 1 小时）

    • 自动通知会发送给项目维护者

  2. 24 小时内

    • 对报告进行初步评估
    • 确认已收到
    • 初步严重性评估

  3. 48 小时内

    • 安全团队给出详细回复
    • 如需更多信息会继续询问
    • 如果确认漏洞存在，会给出修复时间线

  4. 1-7 天内（取决于严重性）

    • 完成修复并测试
    • 准备安全公告
    • 发布修复并公开公告

沟通方式

我们会通过以下方式与你保持沟通：

你可以：

披露时间线

严重问题（CVSS 9.0-10.0）

高危问题（CVSS 7.0-8.9）

中危问题（CVSS 4.0-6.9）

低危问题（CVSS 0.1-3.9）

安全漏洞标准

范围内

我们接受以下类型的报告：

范围外

以下内容不接受报告：

负责任披露指南

应该做的 ✅

不应该做的 ❌

协调披露

我们遵循负责任披露流程：

  1. 私密报告：你先私下告诉我们
  2. 我们评估：判断并评估严重性
  3. 开发修复：我们开发并测试修复
  4. 提前通知：在公开披露前提前通知你
  5. 公开发布：我们同时发布修复和公告
  6. 你的署名：如你愿意，会在公告中致谢

具体时间会根据严重性变化（见上文）

修复发布后

公开公告

公开安全公告通常包含：

你的署名

如果你希望被致谢：

不提供金钱补偿

请注意：

安全研究

如果你在做安全研究：

  1. 先取得许可：先联系维护者
  2. 明确范围：约定你会测试什么
  3. 报告发现：使用本流程
  4. 尊重时间线：给我们时间修复
  5. 负责任地发布：与我们协调

有问题？

如果你对这个流程有疑问：

  1. 查看 SECURITY.md 的完整政策
  2. 查看下方的 FAQ
  3. 使用 [SECURITY] 标签发起 discussion
  4. 对敏感问题使用私密漏洞报告