安全上的透明约定。

FORMA 是共享演示空间与工程基础版，我们把安全边界讲清楚。

数据与存储

• 数据存储于单节点 SQLite，每日随备份策略归档。
• 密码使用 scrypt 加盐哈希存储，不保存明文。
• 会话 Cookie 为 HttpOnly，HTTPS 下启用 Secure / SameSite=None。

传输与访问

• 全站强制 HTTPS；写接口校验 Origin 与 CSRF 令牌。
• 管理操作写入安全审计日志（security_events）。
• 管理端点仅限管理员角色访问。

你的责任

• FORMA 是工程基础版而非完整商业平台，正式上线前请自行完成安全审计。
• 请勿存放敏感数据、真实客户资料或支付信息。

报告漏洞

发现安全问题，请通过博客文章评论区留言「安全」联系我们，或发送邮件至站点管理员。我们会在 72 小时内响应。