Skip to content

Security: The88788/DSH-FreeLLMAPI-Lab

Security

SECURITY.md

Безопасность и работа с данными

Русский · English

Никогда не публикуйте сырые сессии AI-агентов. Журналы DSH (JSONL, Zstd, ZIP) могут содержать запросы пользователя, результаты инструментов, фрагменты кода, локальные пути, содержимое файлов и секреты.

Что должно оставаться приватным

Файлы .env, ключи API и SSH, cookie, заголовки авторизации, сырые журналы DSH, рабочие базы SQLite FreeLLMAPI, сведения о клиентах и пользователях, исходный код закрытых проектов, абсолютные пути на компьютере, URL с токенами, содержимое HTTP-запросов и полные промпты.

Что разрешено публиковать

Только проверенную вручную обезличенную статистику и искусственные тестовые примеры. Перед PR проверьте вложенные структуры JSON, сообщения инструментов, имена файлов, блоки кода, параметры ссылок, адреса репозиториев и устойчивые идентификаторы.

Простые регулярные выражения не обеспечивают гарантированного удаления секретов. Проверяйте результаты вручную.

Первый скрипт scripts/init-trial.ps1 создаёт приватный локальный шаблон вне репозитория. Он не загружает и не обрабатывает сессии. Будущие анализаторы должны работать локально по умолчанию и не изменять рабочий конфиг DSH/FreeLLMAPI без подтверждения.

Если случайно опубликован секрет

Не размещайте его повторно в публичной Issue. Свяжитесь с владельцем проекта приватно, отзовите или замените ключ у провайдера, затем удалите секрет из доступных материалов и истории репозитория по согласованной процедуре.

There aren't any published security advisories