EpoCanvas 安全問題通報規範

說明如何私下回報帳號、評論、支付、個人資料、權限與程式碼安全問題，以及安全事件的處理邊界。

版本 发表于 10/19/26 更新于 10/19/26

EpoCanvas 安全問題通報規範

COMMUNITY-011 安全通報 私下處理

本頁是帳號、評論、支付、隱私與部署安全問題的私下通報入口。它不是漏洞懸賞承諾，也不保證任何固定回應、修復或公開時間。

[!WARNING] 請不要在公開評論、Issue、社群貼文或截圖中披露未修復漏洞、可用的攻擊步驟、密鑰、令牌、個資或支付資料。請寄至 contact@epocanvas.com，主旨使用 [安全]，並只附上必要摘要。

1. 建議通報的問題

以下情況值得私下通報：

  • 未登入使用者可以讀取或修改不應公開的帳號、評論、管理或支付資料；
  • 會話令牌、管理員驗證、權限邊界或角色降級存在可重現的繞過；
  • 輸入內容造成跨站腳本、HTML 注入、跨站請求偽造、命令注入或其他服務端風險；
  • 評論、Reaction、限流、讚賞或退款流程可被用來偽造資料、越權、刷量或暴露個人資料；
  • 部署設定、日誌、建置產物或公開資產意外包含密鑰、密碼或完整令牌；
  • 依賴套件或第三方服務的安全問題，且能清楚說明其如何影響本站整合邊界。

介面錯字、功能建議、一般可用性問題或已在政策中公開記錄的 KNOWN-GAP，通常不屬於安全漏洞；仍可依檢舉與申訴說明或貢獻流程回報。

2. 安全通報應包含什麼

請在不擴大風險的前提下提供：

  1. 受影響的網址、API、版本、部署識別或檔案路徑；
  2. 問題類型與最小可重現步驟；
  3. 你預期的權限邊界，以及實際觀察到的結果；
  4. 可能被讀取、修改、刪除或偽造的資料類型；
  5. 發現時間、瀏覽器/執行環境與是否仍可重現；
  6. 已採取的止損措施，例如撤銷令牌、停止測試或遮蔽資料。

請以遮蔽後的請求、錯誤訊息或示意資料取代真實憑證與個人資料。若必須傳送檔案，先在郵件中說明，不要自行把敏感內容上傳到公開檔案分享服務。

3. 測試與負責任揭露

安全測試應限定在你擁有或明確獲得授權的帳號、資料與環境中。請遵守以下邊界：

  • 不進行拒絕服務、壓力攻擊、批量抓取或會影響其他讀者的測試；
  • 不讀取、下載、修改或刪除與驗證問題無關的資料；
  • 不使用他人的帳號、支付方式、會話令牌或私人留言進行驗證；
  • 不植入持久化後門、不改變生產資料、不公開可直接利用的漏洞細節；
  • 發現外部供應商問題時，同時遵守該供應商的通報與測試政策。

若問題已在公開頁面被意外揭露，請先寄送私下通報，再提供公開網址與暴露範圍，讓站方可以優先降低風險。

4. 站方的處理原則

站方會依影響範圍、可利用性、資料敏感度、是否正在被利用與修復複雜度進行分級。可能的措施包括撤銷令牌、限制帳號或路由、隱藏內容、修正程式碼、輪換憑證、通知受影響者及保留必要審計紀錄。

本站目前沒有對外承諾固定的確認、修復或公開時間。安全處理可能受重現難度、第三方服務、法律義務與維護窗口影響；沒有立即回信不代表問題被忽略。若需要進一步驗證，站方會盡量要求最少的額外資料。

公開修復說明應避免洩露未修復的攻擊細節，並在可以安全公開時說明受影響範圍、修復版本與使用者需要採取的措施。是否署名通報者，應以通報者同意為前提。

5. 憑證外洩與即時危險

如果你發現疑似密鑰、密碼或令牌已公開：

  1. 不要再次複製或轉發該內容；
  2. 在通報中提供可定位的網址、檔案或提交，不要附上完整秘密；
  3. 若你控制該憑證，立即撤銷或輪換；
  4. 說明可能受影響的服務與時間範圍。

若涉及正在發生的人身危險、詐騙或刑事事件，請先聯絡當地緊急服務或執法機關。EpoCanvas 的安全通報管道不能取代緊急應變單位。

最後更新：2026-10-20。