企业级安全架构

Zero-Password 模型

无密码、无浏览器 Cookie。仅官方 Meta* OAuth 2.0，最小权限 scope，一键吊销。

会话沙箱

内核级隔离：每个会话的网络、文件与内存相互隔离。出口仅允许 Meta* 与 Telegram 白名单主机。

PII 最小化

仅收集产品必需数据。UI、日志与通知中脱敏，按请求 72 小时内彻底删除。

团队访问控制

RBAC 角色、SSO、强制 2FA，每位员工的操作日志。默认最小权限原则。

备份与恢复

每 6 小时加密备份，存放于两个欧盟区域。RPO 6 小时，RTO 4 小时，每季度演练恢复。

供应链安全

每次构建生成 SBOM，CI 中扫描依赖，发布版本签名。无灰色代理、无浏览器模拟。

1. 令牌加密

AES-256-GCM，每条记录独立 nonce，密钥在 HSM 中不可导出。解密仅在保险库进程内完成——令牌绝不进入日志。

2. BYOS 与 BYOK

自带密钥：大客户可接入自有 HSM 或 KMS。在您侧吊销密钥，所有令牌即刻失效。

3. Meta* App Review

通过官方 Meta* App Review，对每项权限作出说明。仅使用获批 scope 与 Graph API v20.0——绝不爬取。

4. 令牌轮换

长期令牌到期前 7 天自动续期，加密密钥每 90 天轮换，登录异常即刻吊销。

5. 审计追踪

仅追加日志：发布、审批、隐藏评论、登录。每条事件签名，可导出 SIEM（Syslog/HTTPS），保留 365 天。

事件响应：1 小时 4 步

我们每季度演练一次的响应预案。

• 0–15 分钟：隔离: 自动吊销受影响令牌，冻结会话，通过 Telegram 告警值班工程师与账号所有者。
• 15–30 分钟：评估: 分析审计追踪：做了什么、触及哪些数据，按 P1–P4 定级。
• 30–45 分钟：根除: 轮换密钥，经 OAuth 重新签发令牌，封堵攻击向量（IP、密钥、人员）。
• 45–60 分钟：通报: 向客户报告：发生了什么、影响范围、修复措施。GDPR 下 72 小时内通报 DPA。