安全策略

# 支持的版本

版本	支持状态	安全更新
2.3.x	✅ 当前版本	获得
< 2.3	❌ 已停止	不再提供

请始终使用最新版本。旧版本存在已知问题（例如 2.3.0/2.3.1 生成的 PKCS#8 私钥无法被 ssh2 解析，已在 2.3.2 修复并兼容自动转换）。

# 如何报告安全漏洞

报告请尽量包含：

1. 漏洞类型与影响描述（可被利用的场景）
2. 复现步骤或概念验证（PoC）
3. 受影响的 EasySSH 版本号
4. 你希望的署名方式（或希望匿名）

# 响应时限承诺

阶段	承诺时限
确认收到报告	3 个工作日内
初步评估与定性	7 个工作日内
高危漏洞修复发布	30 天内
修复发布后	公告中致谢报告人（除非要求匿名）

若漏洞涉及第三方依赖（如 ssh2、Electron、xterm.js、iconv-lite），我们会在评估后同步向上游反馈或升级依赖版本。

# 安全相关说明（用户须知）

• 密码保存机制：会话密码保存在 exe 同目录的 config.json 中，为明文保存。不可信环境请勿勾选「保存会话」。
• 代码签名：产物 exe 目前未做代码签名，首次运行 SmartScreen 会提示一次，点「仍要运行」即可；请始终从官网 easyssh.cn 下载，并用下载页提供的 sha256 校验产物完整性。
• 数据便携性：会话、设置、密钥（keys/ 目录）均存放在 exe 同目录并随文件夹携带，请妥善保管该目录，避免泄露私钥与密码。
• 调试日志：%TEMP%\easyssh-debug.log 可能包含连接诊断信息，提交问题前请自行检查是否含敏感内容。