安全与合规

1. 租户与数据隔离

• 每个项目的数据库彼此隔离：独立 SQLite 文件或独立 PostgreSQL schema；跨项目访问在连接层即不可达，不依赖应用层过滤。
• 文件存储按项目边界组织；SQL 控制台禁跨库、禁系统表、禁 ATTACH、禁多语句。
• 云函数数据库访问不下发连接凭据，函数只拿到已绑定项目上下文的 cloud.db 句柄。

2. 函数运行时沙箱

• 用户函数在与平台宿主解耦的运行时中执行：容器形态以一次性容器（--rm）运行，施加内存与 swap 上限、执行超时（默认 10 秒量级，可按函数配置），OOM 即失败不连带宿主。
• 本地开发形态使用独立 worker 沙箱；其边界与生产容器不同，用途仅限开发自测。

3. 密钥与凭据管理

• 环境变量区分 secret（默认，永不下发到客户端 / 产物）与 public（明示随包分发）； 客户端产物与自托管导出包在构建期扫描 secret 值，命中即失败。
• 日志强制脱敏： authorization、cookie、password、ticket 等凭据字段不进日志。
• 认证完全基于成熟开源组件（better-auth），不自研手写 token。

4. 通信与实时通道

• 实时通道握手先鉴权后分配：票据短时（60 秒）且单次使用，重放被拒。
• 订阅授权规则只在服务端求值；channel 命名不构成访问控制。

5. 审计与日志脱敏

• 管理员面板记录操作审计事件；SQL 控制台的全量语句连同执行者与影响行数进审计日志。
• 配额计量数据（函数调用、库容量、存储用量等）持续记录，可用于用量核对与异常回溯。
• 审计记录只归档、不自动清理：删除审计等于消灭追责依据，保留成本远低于一次说不清的事故。 可见范围限于平台管理员（super_admin）；项目内的调用与操作记录，项目所有者可自行查看。
• 日志强制脱敏：authorization、cookie、password、ticket 等凭据字段，以及 URL 里的重置密码令牌片段，统一替换为 [REDACTED] 后再落盘； 请求体不做整段记录。

6. 数据保留与删除

保留期以「用途所需的最短时间」为准，不做「先存着再说」的默认保留。完整口径与自助入口在控制台的 隐私中心（数据导出、注销申请、各类数据的保留说明）， 该页文案与本平台的擦除实现同源，不是另写一份声明。

• 到期即擦除：注销申请需二次确认，随后进入冷静期（部署缺省 7 天，期内可登录、可撤销）。 冷静期结束后立即删除项目及其云函数、环境变量、触发器、Git 凭据、文件存储对象、站内信等可在系统内 定位到该账号的数据。
• 留痕但断开个人标识：订单与发票行按对账口径保留行、个人标识断开；积分与核销流水保留 账目、操作者身份置空；审计日志保留记录，身份以注销时刻的邮箱快照呈现。
• 擦除前检查：名下团队空间的所有者身份与生效中的付费订阅需先处置，页面给出处置指引，不静默剥夺。
• 备份中的历史副本随备份保留期自然过期（见下一节），不做「从备份里逐份删除某用户」的宣称。

7. 备份与恢复

平台数据库与密钥快照按三层副本保留，每层挡的是不同的事故：

• 本地副本（保留 7 天）：挡「误删数据想回滚」这类日常事故。
• 异地副本（保留 14 天）：只存加密密文，挡整机或磁盘损坏、云账号出事。
• 归档副本（保留 30 天）：落在另一块物理盘上，且由备份机主动拉取 ——生产机的凭据碰不到它，因此也挡得住「生产机被入侵后被清空」。

• 离开生产机的副本一律是密文：异地与归档两层只存 GPG 密文（该链路走公网， 载荷含用户数据与主密钥，不能明文传输）；密钥快照与数据库分开存， 且本地快照同样只存密文——否则密钥轮换后旧明文还会在备份目录里滞留一个保留期。
• 备份不是「拷文件」：生产库为 WAL 模式，直接复制主文件会丢掉尚未 checkpoint 的已提交事务（恢复出来「看着正常但少数据」），因此走数据库的一致性快照接口；落盘后校验完整性与 压缩包可读性，上传后再回读解密比对，任一步失败即告警。
• 恢复演练与备份新鲜度阈值由内部运维手册定义（不公开链接，避免暴露基础设施细节）。
• 不承诺自助时间点回滚：当前备份是运维脚本 + 人工值守，SaaS 版本不提供「回滚到任意 时刻」的自助入口；私有化部署的数据随客户环境与其备份策略交付。

8. 加密口径

• 应用层：敏感字段用 AES-256-GCM（AEAD）加密后入库，数据密钥由主密钥经 SHA-256 派生，每次加密使用随机 IV，密文带版本前缀以便将来换算法而不破坏旧数据。全平台只有一份实现 （server/utils/aead.ts），消费方为项目环境变量密文与卡密码密文。
• 传输层：对外一律 HTTPS；平台自有域名与绑定成功的自定义域名由边缘自动签发并续期证书。
• 口令：用户密码只存哈希、不存明文也不存可逆密文；认证全部基于成熟开源组件 （better-auth），不自研手写 token。
• 边界：数据库文件本身不做整库磁盘加密——它依赖宿主/云盘的加密能力（属部署形态）。 因此「拿到备份也读不了」成立的前提是上一节的备份加密，两者是配套的，不单独宣称。

9. 私有化部署的安全边界

• 私有化版本支持完全离线运行（含 License 离线校验）；项目数据落在客户环境，随客户备份策略交付。
• 客户环境内的数据处理责任随部署转移给运营者，平台义务以部署文档与合同为准。

10. 合规路线

• 个人信息处理遵循《个人信息保护法》《数据安全法》，收集最小化清单与用户权利响应方式见隐私政策。
• SaaS 版本的 ICP 备案、等保等行政义务按目标市场上线节奏推进，完成前不宣称已具备。
• 平台不出具应用签名、不代收代发；上架应用内容的适龄与内容合规责任在开发者侧，平台市场审核机制将未成年人保护列入审核项。

11. 漏洞披露

如发现本平台的安全漏洞，请通过控制台反馈入口或安全联系方式提交（法务联系方式待正式文本审定时补充）。 我们承诺在收到报告后依安全流程处置，不在公开渠道讨论未修复细节。

服务当前可用性、历史事件与维护窗口，见平台状态页（公开只读，免登录）。