# 漏洞披露政策 — Gig Earnings Guide

> Gig Earnings Guide（gigearningsguide.com）的负责任漏洞披露与安全漏洞报告政策，以及适用于白帽安全研究人员的安全港规则。

Source: https://gigearningsguide.com/zh/security-disclosure.html
Language: zh-Hans
---

## 漏洞披露政策

安全与漏洞报告 · 最后更新：2026 年 10 月 20 日 · 适用于：所有网页及 API 基础设施

**Gig Earnings Guide**（gigearningsguide.com）高度重视网站、基础设施和用户社区的安全。我们欢迎独立网络安全研究人员、白帽黑客和技术爱好者提供反馈和贡献，帮助我们保障平台安全。

**安全港保证：**  
如果你本着善意并按照本政策开展漏洞研究，我们将视你的行为为已获授权。我们不会对你提起民事或刑事诉讼，也不会要求执法机关介入。

## 1. 参与规则（准则）

为获得安全港保护并协助我们的安全团队，你同意：

- **及时通知我们：**一旦发现任何潜在安全漏洞，请立即报告。
- **保护用户隐私：**尽一切合理努力，不访问、查看、修改、下载或破坏任何其他用户的个人数据、订单或许可证密钥。如果你意外访问到了个人数据，请立即停止测试并报告。
- **不得干扰服务：**不得采取任何降低用户体验、导致服务器崩溃或影响可用性的行为。
- **保密：**在我们的团队调查、处理并确认修复之前（协调披露），不得公开披露该漏洞或与第三方分享。

## 2. 禁止的测试手段

**严格不在范围内：**

- 拒绝服务（DoS / DDoS）攻击或耗尽资源的尝试。
- 针对登录/许可证激活接口的自动化暴力破解或撞库攻击。
- 针对管理员或跑单员的网络钓鱼、鱼叉式钓鱼或社会工程攻击。
- 针对数据中心、员工或托管硬件的物理攻击。
- 直接攻击第三方基础设施（例如攻击 Paddle.com 支付服务器或 Cloudflare 边缘节点）。

## 3. 测试范围内的目标

- 主网站域名及子域名（例如 `gigearningsguide.com`）。
- 公开的网页阅读器接口、HTML 客户端应用和 JavaScript 逻辑。
- 内容安全策略（CSP）、跨站脚本（XSS）和跨站请求伪造（CSRF）防护。

## 4. 如何报告漏洞

请将详细报告发送到我们的安全邮箱：

**安全邮箱：**[gigearningsguide@gmail.com](mailto:gigearningsguide@gmail.com)

报告中请包含：

- 对漏洞及其类型的清晰描述（例如 XSS、CORS 配置错误）。
- 逐步复现说明或最小化的概念验证（PoC）。
- 受影响的 URL、参数或 HTTP 请求头。
- 你对实际潜在风险或影响的评估。

## 5. 响应时间与致谢

我们承诺以负责任的方式处理安全报告：

- **初步确认：**收到报告后 48 小时内。
- **分级与评估：**5 个工作日内。
- **修复：**我们会尽快修补高危问题。
- **致谢：**我们目前没有设立有偿（现金）漏洞赏金计划。不过，对于以合乎道德的方式报告的有效、新颖且有影响力的漏洞，我们很乐意在安全名人堂（Security Hall of Fame）中公开致谢。