hunjing/docs/security/security-and-diagnostics.md

安全与诊断访问

1. 威胁模型

保护对象包括：用户消息、角色设定、记忆、文件、私箧密文（用户独立持钥，平台不可恢复）、BYOK/Provider/MCP 凭据、工具输入输出、模型 Prompt、诊断数据和审计记录。

主要威胁：

• 跨用户或跨角色 IDOR；
• Prompt Injection 诱导工具越权或秘密外传；
• 恶意插件获得进程权限；
• Header 透传泄露凭据；
• 诊断接口成为管理员旁路；账户恢复、管理员或诊断接口试图读取私箧明文；
• 工具重试造成重复副作用；
• 日志、APM、CDN 和浏览器缓存保存敏感数据；
• 删除后索引、缓存或派生内容继续使用；
• 恶意社区内容、角色卡、媒体或插件供应链；
• 支付 Webhook 重放、金额篡改、重复退款或重复结算；
• 创作者账户接管、虚假交易、洗钱、拒付与恶意退款；
• 相机、麦克风、屏幕、位置或声音克隆越权；
• 推荐系统泄露私密特征或放大有害内容；欠费或封禁流程删除角色与记忆数据。

2. 插件与工具安全

• 产品宪章定义的核心禁域不能被 Prompt、插件、管理员或普通自托管配置关闭；自托管档位可裁剪能力，不得混淆职责或关闭禁域。
• 只有 bundled Core plugin 可以在主进程运行。
• 声明式/远程插件默认受限；部署者信任的本地代码插件也必须运行在独立进程或容器。
• 语言 VM 不算安全隔离。
• 插件依赖和权限必须在 Manifest 声明。
• 工具输入视为模型产生的不可信输入，必须 Schema 校验和 Policy 判定。Policy 按四维综合裁决而非只看工具名称：能力（动作自身与可逆性）、数据（读取或传出的数据及敏感度）、后果（现实副作用、传播范围与费用）、情境（界域、设备状态、对象与用户状态）；亲密程度、角色信任或"过去允许过"不能替代具体授权。
• 文件路径 canonicalize 后必须位于授权根目录；网络使用 allowlist；命令执行限制资源和时间。
• 无隔离后端时拒绝危险工具，禁止 unconfined fallback。

3. 凭据与客户端认证

• 1.0 使用 OAuth 2.1：Web 为安全 HttpOnly Session Cookie，Tauri 为 Authorization Code + PKCE，公共客户端为短期 Bearer，自动化为限 scope Service Account API key。
• 用户登录、API、Service Account、诊断和 Provider 凭据只通过 HTTP Header 传递；不进入 query、业务 body、SSE data 或 WebSocket URL。对象存储预签名 URL 是短期、对象绑定 capability，仅按上传契约作为受控例外。
• Cookie 状态变更验证 Origin 和 CSRF token；Tauri 回调只允许已登记 loopback/deep link。
• 2.0 才设计自研加密登录、刷新和设备令牌协议；1.0 不自创密码协议。
• 密钥存 Secret Store，只在执行边界注入。
• 浏览器、Prompt、记忆、工具结果和普通日志都不出现密钥。
• 记忆提取器和插件只能提出 Candidate，Core 在写入和召回前执行所有权、敏感度与审批策略；设备 Restricted 数据不得自动写入记忆。
• 记忆召回先在数据库查询层授权和过滤，再访问全文、向量或图投影；禁止跨域召回后应用层过滤，临时/Working Context 也不能跳过 Conversation、Branch 和 Run 隔离。
• 记忆来源中的 Prompt Injection 只能作为不可信内容处理，不得改变 actor、scope、审批、敏感度或删除策略。
• APM 与代理对 Authorization、Cookie、Provider keys、Hunjing-Diagnostic-Token 全量脱敏。
• Header 与 body 注入应限制目标 host；URL path/query 不注入秘密。
• 支持密钥撤销、轮换和按数据域分配。

4. 设备与媒体安全

• 设备能力同时受 OS 权限、device_grant、角色范围、用途和期限约束。
• 摄像头、麦克风和屏幕采集必须有持续可见指示与即时停止。
• 人脸、声纹、精确位置和屏幕内容为 Restricted；不进入推荐、普通日志或自动记忆。
• 声音克隆需要可验证授权、用途/传播范围、撤回和滥用举报。
• 上传媒体先做类型验证、恶意文件扫描、内容安全和许可检查。
• Tauri command 使用最小 allowlist；WebView 内容不能直接调用通用 Shell。

5. 社区、协作与市场安全

• Community、Workspace、Personal Domain 与 Finance 使用不同授权策略。
• 公开角色版本不包含私密记忆、关系、对话、设备授权或密钥。
• 举报和审核保留证据摘要、处置、申诉和操作者审计；审核模型不独立执行永久高影响处置。
• 插件和数字商品发布前检查签名、恶意代码、权限、许可证、来源和隐私声明。
• 购买不等于启用插件，也不等于批准权限。
• 内容推荐禁止使用 Restricted 数据，并提供关闭个性化、屏蔽和重置。

6. 支付与结算安全

• 支付和结算只接受服务端价格快照；客户端金额不可信。
• Provider Webhook 验签、校验时间窗、按 event ID 幂等，并通过重放测试。
• Order、PaymentAttempt、Refund、Dispute、Ledger、Entitlement 和 Payout 分离。
• Ledger 不可变；退款和冲正写新分录，不修改历史金额。
• 同一退款、结算批次和 Payout 使用稳定幂等键。
• KYC、银行和税号优先由合规 Provider 托管；本地只存引用、状态和脱敏信息。
• 反欺诈限制不能静默没收创作者余额；冻结、申诉和释放过程可审计。

7. 诊断双重授权

7.1 流程

sequenceDiagram
  participant U as User
  participant A as API
  participant G as Grant Service
  participant D as Diagnostics
  participant L as Audit Log

  U->>A: re-authenticate and request Run diagnostics
  A->>G: issue scoped grant
  G-->>U: one-time opaque token
  U->>D: Bearer session + diagnostic headers
  D->>G: validate hash, scope, target, expiry, uses
  G-->>D: allow or deny
  D->>L: record access result
  D-->>U: redacted response, no-store

普通登录态证明“是谁”；诊断授权证明“为何、在什么范围、多久、读取哪个 Run”。任一单独存在都不足以读取。

7.2 请求头

Header	规则
Authorization	普通 Bearer 登录令牌
Hunjing-Diagnostic-Token	opaque token，hjd_ 前缀，不带 Bearer
Hunjing-Diagnostic-Purpose	固定枚举
Hunjing-Request-ID	推荐

Purpose：user_inspection、support_case、security_investigation、automated_evaluation。

令牌不得放 query、body、Cookie、SSE data 或 WebSocket URL。重复头、逗号合并、控制字符和未知 Purpose 一律拒绝。

7.3 Grant

数据库只保存 token hash：

• issuer、subject、personal domain；
• 绑定 run_id，可进一步绑定 turn_id；
• scopes、diagnostic level、purpose；
• support case；
• issued/expires/used/revoked；
• max uses、region、creation trace。

默认有效期 15 分钟、单次、绑定一个 Run。Sensitive level 需要重新认证和逐次确认。

7.4 Scopes

• diagnostics:turn:summary
• diagnostics:model:usage
• diagnostics:tool:summary
• diagnostics:tool:sensitive
• diagnostics:context:manifest
• diagnostics:audit:read

管理员角色不自动获得这些 scope。支持人员只能读取用户主动绑定工单生成的支持包。

8. 响应和审计

诊断响应必须设置：

Cache-Control: no-store, private
Pragma: no-cache
Content-Security-Policy: default-src 'none'
X-Content-Type-Options: nosniff

每次成功和失败访问记录 actor、grant、purpose、目标、scope、结果、IP/设备摘要、时间和 trace。审计本身不保存被访问的敏感正文。

对象错配返回 404，减少资源枚举；token 失效、过期、撤销、scope/region 不符返回统一权限错误，不向调用方区分细节。

9. 数据分级

级别	示例	默认观测
Public	插件 ID、事件类型	可记录
Internal	逻辑模型、耗时、状态	结构化记录
Sensitive	用户消息摘要、脱敏工具参数	受控诊断
Secret	Token、Key、Cookie、签名 URL	永不记录
Restricted	私密原文、高敏文件	仅明确授权支持包、限期加密

隐藏 chain-of-thought 不属于可申请诊断内容；只允许用户可见的思路摘要和供应商返回的计数。PersonalDomain 数据默认不用于模型训练；自愿贡献需独立、明确、可撤销的同意，且不进入默认观测与诊断。审计链至少能回答：谁、在何时、基于何种授权和输入、对什么对象、执行了什么、结果如何、关联哪条 trace。

10. 删除与保留

• 撤权和删除立即阻止普通查询与召回。
• 诊断授权不能绕过删除墓碑。
• Provider 原始请求/响应默认不保存；支持包到期自动删除。
• 常规 usage 与审计保留期独立于消息原文，并遵守最小化原则。
• 备份到期恢复后必须重放删除清单，防止已删数据复活。