本页面是开发者自行检查的记录并非第三方机构的认证或审计。我们同时公开了具体检查了哪些内容，可作为您决定是否引入的参考。
v1.10.0 中不存在严重程度为“高”或“中”的未修复问题（检查日期：2026-10-16～17）。
第 1 次检查以上一个公开版本 v1.9.0 为对象进行，并同时实施了修复。
| 检查 | 使用的工具（版本） | 检出（高 / 中 / 低） | 处理 |
|---|---|---|---|
| 依赖库 | GitHub Advisory Database、FriendsOfPHP security-advisories（截至 2026-10-16 的数据，89 个包） | 1 / 0 / 0 | CakePHP 5.3.6 的已知漏洞。已在 v1.10.0 中更新到 CakePHP 5.3.7 予以修复。开发用库不包含在发布文件中 |
| 静态分析与代码审查 | Psalm 5.26.1（污点分析）、PHPStan 2.1.17（级别 5）、Semgrep 1.181.0、手动代码审查（上传、权限、认证、XSS、更新、安装程序、IP 限制） | 1 / 7 / 12 | 全部已在 v1.10.0 中修复。此外，6 项“信息”级别的问题中已修复 5 项 |
| 机密信息混入 | gitleaks 8.24.2 | 0 / 0 / 0 | 检出的 2 项均为误报（外部库中的示例字符串等） |
| 修复确认 | 在测试环境（PHP 8.3、MariaDB 10.11、Apache 2.4、Chromium）中进行运行确认 | — | 针对每项问题，确认修复前的问题不再重现 |
| 动态扫描 | Nuclei v3.11.1（模板 v10.5.0）。分别以未登录、管理员、成员状态实施 | 0 / 0 / 0 | 无问题 |
| 权限检查 | PHPUnit 12.5（256 项自动测试。分别以管理员、成员、访客和未登录状态，确认即使改写 URL 中的 ID，也无法访问未参与项目的数据或管理员界面） | 0 / 0 / 1 | 已在 v1.10.0 中修复未登录时打开部分管理员界面会暴露该界面存在的问题（低） |
| 按服务器配置确认 | 手动（Apache 2.4、Nginx 1.24，公开文件夹的 2 种放置方式。配置文件、日志、存储文件等 28 个 URL） | — | Apache 在默认设置下无问题。Nginx 添加推荐设置后无问题（如不添加，非公开文件将可被看到，请务必查看推荐设置） |
| 检查清单 | OWASP ASVS 5.0 级别 1（70 项） | 适用的 56 项中满足 50 项 | 不适用 14 项（未使用的功能等）。未满足的 6 项（密码条件等）已通过其他方法采取对策 |