安全与隐私 · 透明说明

01 TLS 证书：指纹来自证书本身，不是我们说的

证书是一份公开文件。它的 SHA-256 指纹由证书内容算出，任何拿到同一份证书的人算出来都一样；指纹一旦改动一个字节就完全不同。

你现在真正连到的证书

上面这段是服务端在 2026-11-08 15:54:56 用域名 SNI 连本站 443 端口取回的证书指纹（标准证书链校验，证书不受信/过期会直接报错）。

你也可以自己验（完全不需要相信这一页）

# 1) 看浏览器里正在用的证书指纹
#    Chrome/Edge：地址栏锁图标 → 连接安全 → 证书 → 详细信息 → 指纹
#    对照上面「证书 SHA-256 指纹」那一行

# 2) 命令行拉一次证书并算指纹（Windows PowerShell 可用 openssl，Linux/macOS 同理）
openssl s_client -connect tianyihome.top:443 -servername tianyihome.top </dev/null 2>/dev/null \
  | openssl x509 -noout -fingerprint -sha256 -subject -issuer -dates

# 3) 只要公钥（可从任何地方拿到证书，无需私钥）
openssl s_client -connect tianyihome.top:443 -servername tianyihome.top </dev/null 2>/dev/null \
  | openssl x509 -pubkey -noout | openssl pkey -pubin -outform der | openssl dgst -sha256

02 证书透明度日志（CT）：谁签的、什么时候签的，第三方可查

Let's Encrypt 签发的每张证书都会被登记到公开的证书透明度日志。这不是我们的服务器，也不由我们控制，所以它是一份独立证据：能查到这张证书何时、由哪个机构签发。

查询地址：https://crt.sh/?q=tianyihome.top

在结果里核对上面那串证书 SHA-256 指纹（crt.sh 显示为 Certificate SHA-256 Fingerprint），以及签发时间是否与本地留档一致。

03 代码指纹清单：运行中的安全模块，可逐字节比对

我们不开源整站（数据与密钥配置都在同一目录，直接公开仓库等于把密钥送到别人手上）。替代做法是把与账号安全直接相关的那几个文件的 SHA-256 指纹公开：你只要拿到项目源码的任意一份副本，就能算出同一个哈希，验证「这份代码就是线上跑的那份」。

清单外的文件不在公开范围；这里也不列出文件大小以外的任何配置值。哈希每次打开本页都会重新计算，不会展示过期缓存值。

自己算一遍

# Windows PowerShell
Get-FileHash .\app.py -Algorithm SHA256 | Format-List

# Linux / macOS
sha256sum app.py

在页面里核对（服务端比对，浏览器禁用脚本也能用）

04 响应头：本次响应应当携带的（附独立核对方式）

下面这些是按 app.py 的 after_request 规则推算的本次响应头（响应头在渲染之后才写入，页面本身读不到自己这一次的响应）。要独立核对，用浏览器开发者工具 Network 面板看任意一个请求的 Response Headers，或把本站地址丢给任意在线 Header 检测服务。

一般用户可用的建议：CSP 里已经去掉 unsafe-eval，但仍保留 unsafe-inline（前端存在大量内联脚本），这一点我们如实标注、不假装它是满分的头。

05 已生效的防护：每一项都指向代码里的具体实现

你可以配合上一节的哈希清单，验证这些实现确实存在于线上那份文件里。

加固时间线

• 2026-08-28 · 首次本地安全审计，确认 4 个高优先级问题
• 2026-09-28 · 复审计：注入、未授权用量泄露、DOM XSS、伪造转发头全部修复并复验
• 2026-09-27 · 服务器侧密钥权限加固与加密备份（目录/文件权限、加密归档）

06 局限与不承诺：这一页不能证明的事

发现问题或想核对某个文件？可以直接在站内反馈提交，附上你要核对的指纹和算指纹的命令。