1. 身份认证与访问控制
- 采用邀请码注册，仅限受邀熟人；每人独立账号。
- 密码经强哈希（bcrypt / argon2）存储，传输全程 HTTPS。
- 会话使用 httpOnly + Secure Cookie，超时失效；支持账号撤销。
- 遵循最小权限原则，不开放不必要的功能与端口。
2. 日志与审计
记录登录时间、来源 IP、访问行为等审计日志，留存不少于 6 个月，用于安全追溯与合规要求；异常行为触发告警与限流。
3. 数据安全
数据在传输中使用 TLS 加密；用户凭据不以明文存储；不向第三方共享用户数据。
4. 安全防护措施
- 全站 HTTPS + HSTS；Web 应用防火墙（WAF）开启。
- 登录失败限流与封禁；定期漏洞扫描与补丁更新。
- 服务器定期备份，降低数据丢失风险。
5. 应急响应
发现可疑事件立即隔离相关账号、留存证据并排查；必要时停用服务并通知受影响用户。
6. 联系与举报
安全事件或违规举报请联系：admin@itbpacy.cloud（占位，请替换为有效邮箱）。