安全修复仅针对最新发布版本。请在报告前确认问题在最新版仍可复现。

请不要通过公开 issue 报告安全漏洞。

请通过以下方式私下联系：

• GitHub Security Advisory：https://github.com/pmh1314520/MCTier/security/advisories/new

报告时请尽量包含：

• 影响的组件（桌面端 / Android 端 / 信令服务器）与版本号
• 复现步骤或最小复现样例
• 影响范围评估（可读取的数据、可执行的操作）

我们会在确认后与你沟通修复与披露时间。

理解这些边界有助于判断某个行为是否属于漏洞：

• 局域网 HTTP 服务：文件共享（14539）与 P2P 聊天（14540）监听在 EasyTier 虚拟网卡上， 同一大厅内的成员可以互相访问。这是功能设计，不是漏洞。
• 共享密码：受密码保护的共享通过 X-Share-Password 头校验，服务端使用常量时间比较。 /api/shares 只返回公开元数据（has_password），不返回密码与本机绝对路径。
• CORS：两个服务只放行 MCTier 自身 WebView 来源，不再使用通配符。 原生客户端（Android OkHttp / reqwest）不发送 Origin，不受此限制。
• 聊天消息：/api/chat/send 目前不校验成员签名，同一大厅内的成员可以伪造 player_id / player_name。这是已知限制，正在规划会话令牌方案。
• 传输加密：默认由 EasyTier 提供。用户若在高级配置中使用 --disable-encryption， 则应视为明文网络，请勿在该模式下共享敏感文件。
• 远程控制 / 屏幕共享：需要被控端显式同意，会话结束后授权状态即清空。

第三方组件的版本、来源、SHA-256 与许可证见 THIRD_PARTY_NOTICES.md。 第三方组件自身的漏洞请优先向其上游报告。