# 安全政策

## 支持的版本

目前，以下版本的 Tree-sitter Analyzer 正在接受安全更新支持：

| 版本 | 支持状态 |
| ---- | -------- |
| 1.9.x | :white_check_mark: |
| 1.8.x | :white_check_mark: |
| < 1.8.0 | :x: |

## 报告漏洞

我们非常重视 Tree-sitter Analyzer 的安全性。如果您发现安全漏洞，请按照以下步骤操作：

### 如何报告

1. **请勿**针对安全漏洞创建公开的 GitHub Issue。

2. **直接发送电子邮件给我们**：aimasteracc@gmail.com
   - 邮件主题请使用：`[SECURITY] tree-sitter-analyzer vulnerability report`
   - 请尽可能详细地包含有关漏洞的信息

3. **或者**，使用 [GitHub 的私有漏洞报告功能](https://github.com/aimasteracc/tree-sitter-analyzer/security/advisories/new) 提交您的报告。

### 应包含的内容

请在您的报告中包含以下信息：

- 漏洞描述
- 复现问题的步骤
- 漏洞的潜在影响
- 任何建议的修复方案（如果有）
- 用于后续联系的联系方式

### 响应时间表

- **初步响应**：收到报告后 48 小时内
- **状态更新**：7 天内提供我们的评估结果
- **解决目标**：严重漏洞在 30 天内解决，其他漏洞在 90 天内解决

### 预期结果

1. 我们将确认收到您的漏洞报告
2. 我们将调查并验证报告的问题
3. 我们将致力于修复，并与您协调披露时间表
4. 我们将公开感谢您的贡献（除非您希望保持匿名）

### 安全港

我们认为符合本政策的安全研究是：

- 经授权的（涉及任何适用的反黑客法律）
- 经授权的（涉及任何相关的反规避法律）
- 免受我们要服务条款中可能干扰安全研究的限制

对于意外、善意违反本政策的行为，我们将不会提起民事诉讼或向执法部门投诉。

## 安全最佳实践

在使用 Tree-sitter Analyzer 时：

1. **保持更新**：始终使用最新的稳定版本
2. **环境变量**：使用 `TREE_SITTER_PROJECT_ROOT` 来限制文件访问
3. **路径验证**：工具会验证文件路径以防止目录遍历攻击
4. **输入清洗**：所有文件输入在处理前都会经过清洗

## 安全功能

Tree-sitter Analyzer 包含内置的安全措施：

- **目录遍历保护**：防止访问允许目录之外的内容
- **文件大小限制**：防止超大文件导致拒绝服务 (DoS)
- **输入验证**：所有输入在处理前都会经过验证
- **安全默认值**：对安全敏感选项使用保守的默认设置

## 联系方式

有关一般安全查询，请联系：aimasteracc@gmail.com

---

感谢您帮助 Tree-sitter Analyzer 及其用户保持安全！
