漏洞披露政策

安全与漏洞报告 · 最后更新：2026 年 10 月 20 日 · 适用于：所有网页及 API 基础设施

Gig Earnings Guide（gigearningsguide.com）高度重视网站、基础设施和用户社区的安全。我们欢迎独立网络安全研究人员、白帽黑客和技术爱好者提供反馈和贡献，帮助我们保障平台安全。

安全港保证：
如果你本着善意并按照本政策开展漏洞研究，我们将视你的行为为已获授权。我们不会对你提起民事或刑事诉讼，也不会要求执法机关介入。

1. 参与规则（准则）

为获得安全港保护并协助我们的安全团队，你同意：

  • 及时通知我们：一旦发现任何潜在安全漏洞，请立即报告。
  • 保护用户隐私：尽一切合理努力，不访问、查看、修改、下载或破坏任何其他用户的个人数据、订单或许可证密钥。如果你意外访问到了个人数据，请立即停止测试并报告。
  • 不得干扰服务：不得采取任何降低用户体验、导致服务器崩溃或影响可用性的行为。
  • 保密：在我们的团队调查、处理并确认修复之前（协调披露），不得公开披露该漏洞或与第三方分享。

2. 禁止的测试手段

严格不在范围内：
  • 拒绝服务（DoS / DDoS）攻击或耗尽资源的尝试。
  • 针对登录/许可证激活接口的自动化暴力破解或撞库攻击。
  • 针对管理员或跑单员的网络钓鱼、鱼叉式钓鱼或社会工程攻击。
  • 针对数据中心、员工或托管硬件的物理攻击。
  • 直接攻击第三方基础设施（例如攻击 Paddle.com 支付服务器或 Cloudflare 边缘节点）。

3. 测试范围内的目标

  • 主网站域名及子域名（例如 gigearningsguide.com）。
  • 公开的网页阅读器接口、HTML 客户端应用和 JavaScript 逻辑。
  • 内容安全策略（CSP）、跨站脚本（XSS）和跨站请求伪造（CSRF）防护。

4. 如何报告漏洞

请将详细报告发送到我们的安全邮箱：

安全邮箱：gigearningsguide@gmail.com

报告中请包含：

  • 对漏洞及其类型的清晰描述（例如 XSS、CORS 配置错误）。
  • 逐步复现说明或最小化的概念验证（PoC）。
  • 受影响的 URL、参数或 HTTP 请求头。
  • 你对实际潜在风险或影响的评估。

5. 响应时间与致谢

我们承诺以负责任的方式处理安全报告：

  • 初步确认：收到报告后 48 小时内。
  • 分级与评估：5 个工作日内。
  • 修复：我们会尽快修补高危问题。
  • 致谢：我们目前没有设立有偿（现金）漏洞赏金计划。不过，对于以合乎道德的方式报告的有效、新颖且有影响力的漏洞，我们很乐意在安全名人堂（Security Hall of Fame）中公开致谢。