这是 GdeiAssistant 的 iOS 客户端。服务端漏洞、账号体系问题请报到 主仓；这里只处理客户端本身的问题。
Report security vulnerabilities through GitHub private vulnerability reporting. Do not post exploit details, credentials, private sessions or personal data in public issues or PRs. Include the affected version, impact and minimal redacted reproduction. The maintainer handles reports on a best-effort basis; no bounty or response-time guarantee is implied.
| 位置 | 风险 |
|---|---|
Keychain（KeychainTokenStorage） |
JWT 存在 Keychain；设备越狱或备份被提取时可能被读取 |
AuthManager |
401 处理不当可能导致登出循环或旧会话覆盖新会话 |
Configs/*.xcconfig |
环境地址写死在生产域，误把测试包指到 prod 会污染真实数据 |
| 签名材料 | .p12、provisioning profile、.p8 私钥泄露等于任何人都能发「官方」更新 |
| 日志与崩溃上报 | 可能带出校园账号、Cookie、请求体 |
证书、profile 和 App Store Connect 私钥都不该进仓库。如果你在提交历史里看到了，请告诉我们，别在 Issue 里复述具体内容。
请只在你自己的账号和你自己的设备/模拟器上测试。
不要做这些事：
- 攻击学校相关系统、第三方系统或与本项目对接的外部服务
- 获取或尝试获取他人数据
- 撞库、爆破、批量请求、绕过验证码、批量爬取、拒绝服务
- 对生产环境
https://gdeiassistant.cn/做影响可用性的测试
发现自己的凭据泄露，先改密码并退出所有设备，再联系维护者。
安全修复面向当前 main 分支和仍在维护的正式版本。旧的衍生版本不保证回溯修复。
维护者会在合理时间内评估报告。本项目没有赏金计划，也没有固定 SLA。