感谢你关注 U-Claw 的安全性。本文档说明如何向我们报告安全漏洞，以及我们当前支持的版本。
请不要在公开 issue 里发布安全漏洞细节。
如果你发现了 U-Claw 的安全问题，请通过以下任一渠道私下联系：
- 邮件：
hefangsheng@u-claw.org（建议附 PoC、影响范围、复现步骤） - GitHub 私密漏洞报告：在 u-claw 仓库 的 Security 标签页 → "Report a vulnerability"
我们会在 3 个工作日内 确认收到，并在 14 天内 给出初步评估。请允许我们在公开披露前修复问题。
- 受影响的模块（portable / install / bootable / u-claw-app）
- 受影响的版本或 commit hash
- 触发条件、攻击面（本地 / 局域网 / 互联网）
- 复现步骤或 PoC 代码
- 你建议的缓解或修复方向
| 模块 | 版本 | 状态 |
|---|---|---|
portable/ |
当前 main | ✅ 接受报告 |
install/ (install.sh / install.ps1) |
当前 main | ✅ 接受报告 |
bootable/ (Linux U 盘) |
当前 main | ✅ 接受报告 |
u-claw-app/ Electron |
当前 main | ✅ 接受报告 |
| 历史 release tag | — |
我们暂未发布稳定版本号，所有修复直接在 main 分支推送。
- U-Claw 自身脚本中的命令注入、路径穿越、任意写入、代码执行
data/.openclaw/openclaw.json配置加载/写入逻辑中的注入- 启动脚本（
Mac-Start.command/Windows-Start.bat/start.sh） 在恶意目录名/环境变量下被劫持的可能 - 一键安装 (
curl | bash/irm | iex) 链路上的 MITM 风险 - Bootable USB 制作脚本生成的产物在 Linux Live 环境下的提权问题
- 上游依赖（Node.js / OpenClaw / Electron / Ventoy / Ubuntu）的漏洞 — 请直接报给上游项目；我们只跟踪并升级版本。
- 用户主动把自己的 API Key 写到公开仓库 / 截图泄露，不属于本项目缺陷。
- 物理接触 USB 后的所有攻击（含偷换 USB、键盘记录等），属于硬件安全场景。
- 在用户已经获得 admin/root 权限的情况下能做的进一步动作。
发现并负责任披露安全问题的研究者，将在修复发布的 commit message 和 release notes 中署名感谢（除非你要求匿名）。
本策略借鉴了 GitHub 推荐的开源安全披露格式，未来会随项目成熟度更新。