Cerul 安全

身份与浏览器安全

• Web 会话使用 Secure、HttpOnly、host-only Cookie。
• 浏览器 JavaScript 无法读取会话凭证。
• 管理视图默认拒绝访问，并依赖服务端签发的权限范围。

数据与执行边界

• Web 页面不直接连接数据库、对象存储、支付系统或模型服务。
• 本地资料保留在本地运行时，除非你明确选择云端或分享操作。
• 公开分享只暴露受限投影，不包含内部记录或存储凭证。

契约与变更

云端与本地集成使用版本化 API 契约和生成客户端。契约变更由统一负责人审核，展示代码不能静默扩大权限。

报告安全问题

请将安全报告发送至 security@cerul.ai，并提供复现步骤和潜在影响；请勿访问不属于你的数据。