Security
安全性說明
LPIC.cc 從設計之初就把安全與隱私視為核心原則，而非事後補丁。以下是我們在生產環境持續運作的安全措施概覽。
核心安全措施
HTTPS 全站加密
所有連線強制使用 HTTPS（TLS 1.2+），並啟用長效 HSTS，瀏覽器將拒絕任何未加密的連線嘗試。資料傳輸全程端到端加密，中間人無法竊聽或篡改。
bcrypt 密碼雜湊
使用者設定的分享密碼以業界標準的 bcrypt 單向雜湊儲存，我們伺服器也無法反查明文。密碼從不以明文形式存在於我們任何系統中。
檔案自動過期
上傳的檔案在最後一次被查看後保留 30 天，逾期分享連結立即失效並排程清除。你不需要手動管理，過期檔案不會再被任何人存取。
限時簽章 URL 直傳
上傳時伺服器產生一組短效期限時簽章 URL，瀏覽器直接將檔案傳至雲端物件儲存。簽章過期後無法再使用，避免未授權上傳或重複提交。
嚴格 Content Security Policy
預設拒絕所有外部資源，僅白名單允許必要來源。搭配 X-Frame-Options 與 Referrer-Policy 標頭，最小化 XSS、點擊劫持與來源洩漏的風險。
多層速率限制
對登入、上傳、密碼驗證等敏感端點施加速率限制，偵測到異常行為立即冷卻。有效阻擋暴力破解與自動化攻擊，同時不影響正常使用者。
Cloudflare Turnstile 無感驗證
關鍵表單整合 Cloudflare Turnstile 人機驗證，透過裝置指紋與行為分析在背景判斷真人，抵擋機器人而不需要使用者點擊圖片。
IP 遮罩日誌
完整 IP 位址從不入庫。寫入統計與安全日誌前一律遮罩末段（如 1.2.3.***）；原始 IP 僅在記憶體中短暫存在以完成即時防護決策後立即丟棄，降低資料洩漏造成的二次風險。
額外安全措施
| 措施 | 說明 |
|---|---|
| 查詢參數化 | 所有資料庫查詢皆採參數化繫結，從根本杜絕 SQL Injection 攻擊面。 |
| 輸入驗證 | API 端點強制 schema 驗證（required、min、max、email 等規則），非預期輸入在進入業務邏輯前即被拒絕。 |
| CSRF 防護 | 所有狀態變更請求皆要求獨立 CSRF Token 驗證，Cookie 設 HttpOnly + Secure + SameSite=Strict 三重旗標，阻擋跨站偽造請求。 |
| 嚴格 CORS 控管 | 只允許官方網域呼叫 API，阻擋未授權網域的跨站呼叫。 |
| Cloudflare DDoS 防護 | 由邊緣節點自動偵測並緩解異常流量，在攻擊流量抵達來源伺服器前就被阻擋。 |
| 敏感資料遮罩日誌 | 日誌框架預設遮罩 IP、Token、密碼等敏感欄位，即使日誌意外外流也不會洩漏敏感值。 |
責任揭露
如果你發現 LPIC.cc 的安全漏洞，請透過 [email protected] 私下回報。我們承諾：
- 收到回報後 48 小時內確認。
- 不會對善意的安全研究者採取法律行動。
- 漏洞修復後，若你同意，我們會在本頁面公開致謝。
為避免影響其他使用者，研究者請勿對正式環境進行自動化掃描或壓力測試。
最後更新日期：2026 年 4 月 21 日