安全与信任边界
保持秘密、身份、数据和服务入口的最小必要边界。
密钥与部署
秘密通过受保护环境注入，不进入源码、浏览器变量、URL或日志。服务只得到专属派生密钥。保留持久化数据和加密密钥，生产入口使用HTTPS并限制原始业务端口。
不同入口不同身份
公开Zone同源页面不是不可信脚本沙箱。管理第三方iframe按opaque协议隔离，用短期限定身份而非平台管理员凭据。Gateway签名上下文与业务授权都必须验证。
内容、媒体与报告
正文经服务端安全清洗，私有媒体不因引用变为公开。发布前检查内容与秘密边界；公开问题报告不要附凭据。私密漏洞报告渠道仍待正式公布，不把普通公开Issue当作私密渠道。