安全说明

系统的安全设计（也是每次提交的自动安全审查所覆盖的点）：

鉴权与权限

• 会话 token（32 字节随机）7 天过期，scrypt 密码哈希
• 两级角色：超管全量；应用管理员限被指派的应用
• 采集 token：每应用独立，管理后台只展示打码版本
• 未配置密钥时生产环境一律 fail-closed（NODE_ENV=production 必须显式配置才能放行）

防爆破

登录接口同一 IP 失败 5 次锁 10 分钟，成功重置计数。

SSRF 防护

告警/报表的 webhook URL：仅 https（非生产 loopback 放行 http）、拒绝内网与链路本地 IP（含 IPv4-mapped IPv6）、生产强制主机白名单、不跟随重定向。

数据卫生

• ingest 校验：metric 白名单、事件名形态、字段长度上限、有限数值校验
• 脱敏：手机号/身份证/邮箱/银行卡内容级过滤，敏感 key 整值替换
• 接口地址去 query（防 token 落库）

CORS

• 采集接口（/collect、/sourcemaps）：任意来源（SDK 跨域上报是设计使然）
• 管理面其余接口：仅 ADMIN_ORIGIN 名单

传输

生产部署 nginx 终止 HTTPS + HSTS + 安全响应头。