本页面是开发者自行检查的记录并非第三方机构的认证或审计。我们同时公开了具体检查了哪些内容，可作为您决定是否引入的参考。
v1.11.0 中不存在严重程度为“高”或“中”的未修复问题（检查日期：2026-10-28）。
本次以 v1.10.0 以来的变更（Claude 集成，富文本的文字颜色、背景色和分隔线等）为对象进行检查，并同时修复了此前版本中已存在的问题。如果您正在使用 v1.10.0 或更早的版本，建议更新到 v1.11.0。
| 检查 | 使用的工具（版本） | 检出（高 / 中 / 低） | 处理 |
|---|---|---|---|
| 依赖库 | GitHub Advisory Database、FriendsOfPHP security-advisories（截至 2026-10-28 的数据，89 个包） | 0 / 0 / 0 | 分发文件所含的库中没有已知漏洞。开发用库的已知漏洞已在 v1.11.0 中通过更新解决（开发用库不包含在分发文件中） |
| 静态分析与代码审查 | Psalm 5.26.1（taint 分析）、PHPStan 2.1.17（级别 5）、Semgrep 1.182.1、人工代码审查（v1.10.0 以来的变更部分：Claude 集成的 API 与令牌、富文本、保持登录、软件更新；并包括所有界面的链接输出） | 1 / 1 / 3 | “高”“中”及 2 项“低”已在 v1.11.0 中修复。剩余 1 项“低”仅会因用户本人的操作而发生，已确认影响有限。“高”1 项是此前版本中已存在的问题 |
| 机密信息混入 | gitleaks 8.24.2 | 0 / 0 / 0 | 同时检查了源代码和分发文件。检出的 2 项均为误报（外部库中的示例字符串等） |
| 修复确认 | 在测试环境（PHP 8.3、MariaDB 10.11、Apache 2.4、Nginx 1.24、Chromium）中进行运行确认 | — | 针对每项问题，确认修复前的问题不再重现 |
| 动态扫描 | Nuclei v3.11.1（模板 v10.5.1）。分别以未登录、管理员、成员状态实施 | 0 / 0 / 0 | 无问题 |
| 权限检查 | PHPUnit 12.5（454 项自动测试。在原有内容基础上，确认 Claude 集成的 API 会拒绝无令牌、只读令牌、未获许可的用户以及功能关闭时的请求，且不会访问到用户未参与的项目） | 0 / 0 / 0 | 无问题 |
| 按服务器配置确认 | 手动（Apache 2.4、Nginx 1.24，公开文件夹的 2 种放置方式。配置文件、日志、会话、存储文件等 39 个 URL） | 0 / 0 / 1 | 已在 v1.11.0 中修复：在 Apache 上也完全拒绝对旧版本文件存储文件夹（files）的直接访问。其他无问题 |
| 检查清单 | OWASP ASVS 5.0 级别 1（70 项） | 适用的 56 项中满足 50 项 | 本次未重新审查（沿用此前 v1.10.0 的结果） |
| Claude 集成扩展程序 | npm audit、gitleaks 8.24.2、mcpb validate、人工代码审查（geckoflag-1.0.0.mcpb） | 0 / 0 / 0 | 分发文件所含的库中没有会造成影响的已知漏洞。已确认 API 令牌的处理方式以及通信目标的限制（仅 HTTPS、不跟随重定向） |