如果您在 Meridian 中发现安全漏洞：
- 不要开放公开问题
- 给维护者发电子邮件或使用 GitHub 安全公告
- 包含复现步骤和潜在影响
我们的目标是在 48 小时内响应，并将在修复中感谢报告者。
- 凭证：以
0600权限存储在~/.config/meridian/cluster.yml中，秘密永不通过无shlex.quote()的 shell 命令传递，从meridian doctor输出中编辑。目录权限为0700（仅所有者）。任何作为你用户运行的应用都能读这些文件 — 这是所有本地存储凭证的 CLI 工具的固有特性（SSH 密钥、云 CLI 令牌等）。如果你的本地机器在用户级别被破解，凭证加密无法帮助：恶意软件可以键盘记录密码或拦截 SSH 会话。保护你的本地机器。 - 面板访问：Remnawave 管理 UI 由 nginx 在秘密 HTTPS 路径反向代理 — 不需要 SSH 隧道。连接页面和订阅链接使用单独的路径并永不显示面板的。URL 和管理员凭证在
~/.config/meridian/cluster.yml的panel部分 - SSH：默认禁用密码认证，并启用 fail2ban（
--no-harden跳过两者加防火墙，用于与其他服务共享的服务器） - 防火墙：UFW 拒绝入站流量除了服务器的 SSH 端口和其角色需要的端口 — TCP/443 用于代理流量、TCP/80 用于证书签发、UDP/443 仅当启用 Hysteria2、以及中继上的监听端口
- 固定软件：Remnawave 镜像固定到已测试版本；Realm、Xray（用于
meridian test）和 RealiTLScanner 下载是版本固定和校验和验证的 - TLS：acme.sh 通过 Let’s Encrypt 处理证书，由 nginx 提供
Meridian 配置代理服务器 — 它不实现加密协议。底层安全取决于：