SECURITY.md

🔐 安全与隐私提醒

⚠️ 重要安全建议

1. 设置强密码：使用复杂的 PASSWORD 环境变量
2. 关闭公网注册：在管理后台关闭用户注册功能
3. 仅供个人使用：请勿公开分享或传播您的实例链接
4. 遵守当地法律：确保使用行为符合当地法律法规
5. SSRF 防护：公网部署时保持 SSRF 防护启用（默认），私有部署（NAS/内网）可按需禁用

🛡️ SSRF 防护说明

本项目默认启用 SSRF（Server-Side Request Forgery）防护，阻止代理访问内网资源：

阻止的地址范围：

• 内网 IP：10.x.x.x、192.168.x.x、172.16-31.x.x
• 本地地址：127.0.0.1、localhost
• 链路本地：169.254.x.x
• 云平台元数据：metadata.google.internal

何时需要禁用 SSRF 防护：

如果您在 NAS、家庭服务器或内网环境 部署，且视频源/图片/CMS 接口使用内网地址，需要设置：

DISABLE_SSRF_PROTECTION=true

⚠️ 安全警告：

• 禁用 SSRF 防护会允许代理访问内网资源
• 仅适用于私有部署环境（NAS、家庭网络、企业内网）
• 公网部署强烈建议保持启用，否则可能被利用访问内网服务
• 如果不确定，请保持默认（启用防护）

典型使用场景：

• ✅ 公网 VPS/云服务器 → 保持启用（默认）
• ✅ Vercel/Netlify 等平台 → 保持启用（默认）
• ⚠️ NAS（群晖/威联通）Docker 部署 → 视频源是内网地址时需禁用
• ⚠️ 家庭服务器 → 访问局域网资源时需禁用

📋 免责声明

• 本项目仅供学习和个人使用
• 请勿用于商业用途或公开服务
• 所有内容来自第三方网站，本站不存储任何视频资源
• 公开分享导致的法律问题，用户需自行承担责任
• 项目开发者不对用户使用行为承担任何法律责任
• 本项目不在中国大陆地区提供服务，在该地区使用所产生的法律风险及责任属于用户个人行为，与本项目无关

---