了解安全检查与更新方式

SetFN SpaceBuilder 是由客户自行安装、用于公司内部文档管理和网站运营（CMS）的服务器产品。由于一台服务器上会汇集多位用户的文件和账户，SetFN 在发布更新之前都会进行安全检查，并把结果连同日期一起记录在本章节中。

本文档介绍 SetFN 进行的检查类型、参考的安全标准，以及查看检查记录的方法。

发布前检查

在发布更新之前，会进行以下检查。

检查	内容
自动测试	运行服务器功能测试，以及在真实浏览器中验证登录、上传、共享、权限场景的界面测试。
隔离测试服务器验证	单独运行与生产数据隔离的测试服务器并创建账户，通过真实请求验证权限、共享、认证边界以及过载情况。
依赖漏洞扫描	服务器使用的 Go 库通过 Go 官方漏洞数据库检查，网页界面库通过 npm 安全公告检查。对于实际会被调用的漏洞，升级到修复版本。
AI 辅助代码审查	使用 Anthropic Claude 和 OpenAI Codex 审查变更的代码和现有代码。AI 发现的问题，只有在通过代码和运行结果再次确认后才会修复。一个 AI 修改的内容，在发布前由另一个 AI（Codex）以只读方式进行交叉审查。
外部安全公告比对	查看 KISA Boho Nara（보호나라）安全公告和各组件的安全公告，判断是否与 SetFN 相关。

除发布前检查之外，还会与 AI（Claude、Codex）一起定期重新检查全部代码。出现新的攻击类型或安全公告时，会确认其是否与 SetFN 相关。

每次检查后都会更新以下文档。

Docs 首页的 最新安全检查 会显示最近一次检查的日期和摘要。

检查项目参考以下标准确定。

标准	发布机构	参考内容
OWASP Top 10:2025	OWASP	Web 应用程序的 10 大主要风险（访问控制、配置错误、供应链、异常处理等）
OWASP ASVS 5.0	OWASP	认证、会话、权限、文件处理、配置、日志与错误处理的验证要求
CWE Top 25 (2025)	MITRE·CISA	实际漏洞中经常出现的弱点类型（包括无限制的资源分配）
NIST SP 800-63B-4	美国国家标准与技术研究院	密码与认证手段的管理标准
主要信息通信基础设施技术漏洞分析·评估方法详细指南	韩国互联网振兴院（KISA）	Web 漏洞检查项目

如果在 SetFN 中发现疑似安全问题的行为，请通过联系我们告知。如果一并写明重现方法和所使用的 SetFN 版本，可以更快完成确认。在确认结束之前，请不要在公开场所发布重现方法。

安全检查是为了降低已知风险而进行的活动，并不保证不存在任何风险。
安装 SetFN 的服务器的操作系统、反向代理（nginx 等）、文档转换程序（LibreOffice 等）由服务器运维人员更新。需要确认的项目请参考检查服务器安全更新。
修复内容通过 SetFN 更新发布。只有保持最新版本，修复内容才会生效。