安全和基础设施概述

1. 数据保护

身份验证令牌、刷新密钥、分析标识符和 Webhook 机密均使用 AES-256-GCM (enc:v1) 进行加密，并通过存储在代码库外部的 AUTH_SECRET 包进行轮换处理。

上传到参与者中心的文件经过扫描并使用自动过期的预签名 URL 进行存储；敏感导出（PDF, CSV, ICS）在每次访问请求时都会重新生成并重新验证，以确保最大程度的隐私。

• 所有网络流量均以带有自动 HSTS 和 CSP 标头的 HTTPS 终止。
• 秘密通过 SECRET_BUNDLE_PATH 加载，并且永远不会暴露给 NEXT_PUBLIC 变量。

2. 访问控制

基于角色的权限管理每个管理员或组织者的操作（行程管理、付款、通知）。支持访问需要强制 2FA 和升级令牌来执行破坏性任务。

公共行程仅反映标记为可共享的数据；所有者电子邮件、笔记和供应商文件永远不会离开安全工作区。

• 身份验证通过安全、加密的令牌进行管理，这些令牌定期轮换以防止未经授权的访问。
• 尝试高风险操作的管理员必须通过与其设备 IP 和用户代理相关的附加安全验证流程。

3. 监控和事件响应

每个 API 路由都会向警报管道（电子邮件 + 本地日志文件）发出结构化安全事件。配置后，速率限制异常会触发自动限制和 Slack/电子邮件通知。

乘客重新启动会在 start.log / stderr.log 中捕获，以便基础设施团队可以审核部署和回滚。

• Webhook 失败、OTP 滥用和管理员访问尝试均使用哈希标识符进行记录。
• 重新生成聚光灯数据或自动行程的 Cron 作业必须提供自动化机密，以防止未经授权的触发。

4. 合规性和数据驻留

核心数据存放在托管式 MySQL 集群中，并配有用于分析的只读副本。备份在静态时保持加密，并每 30 天轮换一次。

如果你需要签署 DPA 或特定地区的居住承诺，请发送电子邮件至 [email protected] 并引用你的工作空间 ID。

5. 安全联系人

鼓励负责任的披露。将包含重现步骤的报告发送至[email protected]。我们的目标是在一个工作日内确认重要调查结果。