SECURITY.md

Security Policy (မြန်မာ)

🌐 Languages: 🇺🇸 English · 🇪🇹 am · 🇸🇦 ar · 🇦🇿 az · 🇧🇬 bg · 🇧🇩 bn · 🇧🇦 bs · 🇨🇿 cs · 🇩🇰 da · 🇩🇪 de · 🇬🇷 el · 🇪🇸 es · 🇪🇪 et · 🇮🇷 fa · 🇫🇮 fi · 🇫🇷 fr · 🇮🇪 ga · 🇮🇳 gu · 🇳🇬 ha · 🇮🇱 he · 🇮🇳 hi · 🇭🇷 hr · 🇭🇺 hu · 🇦🇲 hy · 🇮🇩 id · 🇳🇬 ig · 🇮🇹 it · 🇯🇵 ja · 🇬🇪 ka · 🇰🇭 km · 🇮🇳 kn · 🇰🇷 ko · 🇱🇹 lt · 🇱🇻 lv · 🇮🇳 ml · 🇮🇳 mr · 🇲🇾 ms · 🇲🇹 mt · 🇳🇵 ne · 🇳🇱 nl · 🇳🇴 no · 🇮🇳 or · 🇮🇳 pa · 🇵🇭 phi · 🇵🇱 pl · 🇵🇹 pt · 🇧🇷 pt-BR · 🇷🇴 ro · 🇷🇺 ru · 🇱🇰 si · 🇸🇰 sk · 🇸🇮 sl · 🇷🇸 sr · 🇸🇪 sv · 🇰🇪 sw · 🇮🇳 ta · 🇮🇳 te · 🇹🇭 th · 🇹🇷 tr · 🇺🇦 uk-UA · 🇵🇰 ur · 🇺🇿 uz · 🇻🇳 vi · 🇳🇬 yo · 🇨🇳 zh-CN · 🇹🇼 zh-TW

---

အားနည်းချက်များကို အစီရင်ခံခြင်း

OmniRoute တွင် လုံခြုံရေးအားနည်းချက်တစ်ခုကို တွေ့ရှိပါက တာဝန်သိစွာ အစီရင်ခံပေးပါ-

1. အများမြင်နိုင်သော GitHub issue ကို မဖွင့်ပါနှင့်
2. GitHub Security Advisories ကို အသုံးပြုပါ
3. ဖော်ပြချက်၊ ပြန်လည်ဖြစ်ပေါ်စေရန် အဆင့်များနှင့် ဖြစ်လာနိုင်သော သက်ရောက်မှုတို့ကို ထည့်သွင်းပါ

တုံ့ပြန်မှု အချိန်ဇယား

အဆင့်	ရည်မှန်းထားသည့်ကာလ
လက်ခံရရှိကြောင်း အတည်ပြုခြင်း	48 နာရီ
ကနဦးစိစစ်ခြင်းနှင့် အကဲဖြတ်ခြင်း	အလုပ်လုပ်ရက် 5 ရက်
ပြင်ဆင်ချက် ထုတ်ပြန်ခြင်း	အလုပ်လုပ်ရက် 14 ရက် (အရေးကြီးအဆင့်)

ပံ့ပိုးထားသော ဗားရှင်းများ

ဗားရှင်း	ပံ့ပိုးမှုအခြေအနေ
3.8.x	✅ အသုံးပြုဆဲ
3.7.x	✅ လုံခြုံရေးဆိုင်ရာ ပံ့ပိုးမှု
< 3.7.0	❌ ပံ့ပိုးမှုမရှိပါ

---

လုံခြုံရေး ဗိသုကာပုံစံ

OmniRoute သည် အလွှာပေါင်းစုံပါဝင်သော လုံခြုံရေးပုံစံကို အကောင်အထည်ဖော်ထားသည်-

တောင်းဆိုမှု → CORS → Authz လုပ်ငန်းစဉ် (အမျိုးအစားခွဲခြားခြင်း → မူဝါဒများ → အကောင်အထည်ဖော်ခြင်း)
       → ကန့်သတ်ကာကွယ်မှုများ (PII ဖုံးကွယ်ကိရိယာ၊ prompt injection၊ vision bridge)
       → နှုန်းထားကန့်သတ်ကိရိယာ → ဆားကစ်ဖြတ်တောက်ကိရိယာ → ခေတ္တရပ်နားမှု → မော်ဒယ်ပိတ်ပင်မှု → ဝန်ဆောင်မှုပေးသူ

🔐 အထောက်အထားစစ်ဆေးခြင်းနှင့် ခွင့်ပြုချက်ပေးခြင်း

လုပ်ဆောင်ချက်	အကောင်အထည်ဖော်မှု
Dashboard အကောင့်ဝင်ခြင်း	JWT token များ (HttpOnly cookie များ) ပါဝင်သည့် စကားဝှက်အခြေပြု အထောက်အထားစစ်ဆေးမှု
API Key အထောက်အထားစစ်ဆေးမှု	CRC စစ်ဆေးအတည်ပြုမှုပါဝင်သော HMAC ဖြင့် လက်မှတ်ထိုးထားသည့် key များ
OAuth 2.0 + PKCE	ဝန်ဆောင်မှုပေးသူအလိုက် browser/device OAuth သည် ပံ့ပိုးထားသည့်နေရာများတွင် PKCE ကို အသုံးပြုပြီး၊ ထည့်သွင်းတင်သွင်းရန်သာဖြစ်သော Devin အထောက်အထားများကို သီးခြားကိုင်တွယ်သည်။
Token ပြန်လည်ရယူခြင်း	သက်တမ်းမကုန်ဆုံးမီ OAuth token ကို အလိုအလျောက် ပြန်လည်ရယူခြင်း
လုံခြုံသော Cookie များ	HTTPS ပတ်ဝန်းကျင်များအတွက် AUTH_COOKIE_SECURE=true
Authz လုပ်ငန်းစဉ်	Route အမျိုးအစားခွဲခြားခြင်း (PUBLIC / CLIENT_API / MANAGEMENT) — docs/architecture/AUTHZ_GUIDE.md ကို ကြည့်ပါ
Route ကာကွယ်မှု အဆင့်များ	စီမံခန့်ခွဲမှု route များအတွက် အဆင့် 3 ဆင့်ပုံစံ (LOCAL_ONLY / ALWAYS_PROTECTED / MANAGEMENT) — docs/security/ROUTE_GUARD_TIERS.md ကို ကြည့်ပါ
Manage-Scope MCP	အဝေးမှ /api/mcp/* ဝင်ရောက်မှုကို manage scope ပါဝင်သော API key များဖြင့် ထိန်းချုပ်ထားပြီး၊ /api/cli-tools/runtime/* သည် strict-loopback အဖြစ် ဆက်လက်ထားရှိသည်။ ROUTE_GUARD_TIERS ကို ကြည့်ပါ
MCP Scope များ	အသေးစိတ်ခွဲထားသော scope 32 ခု (read:health, write:combos, execute:completions စသည်) — docs/frameworks/MCP-SERVER.md ကို ကြည့်ပါ

🛡️ သိမ်းဆည်းထားစဉ် ကုဒ်ဝှက်ခြင်း

SQLite တွင် သိမ်းဆည်းထားသော အရေးကြီးဒေတာအားလုံးကို scrypt key ဆင်းသက်ဖန်တီးမှုနှင့်အတူ AES-256-GCM အသုံးပြု၍ ကုဒ်ဝှက်ထားသည်-

• API key များ၊ access token များ၊ refresh token များနှင့် ID token များ
• ဗားရှင်းသတ်မှတ်ထားသော ပုံစံ- enc:v1:<iv>:<ciphertext>:<authTag>
• STORAGE_ENCRYPTION_KEY မသတ်မှတ်ထားပါက ဖြတ်သန်းခွင့်မုဒ် (plaintext)

# ကုဒ်ဝှက်ခြင်း key ကို ထုတ်လုပ်ရန်-
STORAGE_ENCRYPTION_KEY=$(openssl rand -hex 32)

🛡️ ကန့်သတ်ကာကွယ်မှု မူဘောင်

OmniRoute တွင် ဦးစားပေးအစီအစဉ်အလိုက် စီထားသော မူလပါဝင်သည့် ကန့်သတ်ကာကွယ်မှု 3 ခုနှင့် အပြောင်းအလဲများကို ချက်ချင်းပြန်လည်ရယူနိုင်သော guardrails registry (src/lib/guardrails/) ပါဝင်သည်-

ကန့်သတ်ကာကွယ်မှု	ဦးစားပေးမှု	ရည်ရွယ်ချက်
vision-bridge	5	ပုံရိပ်ကို နားလည်သည့် ဖော်ပြချက်များဖြင့် ပုံရိပ်မမြင်နိုင်သော မော်ဒယ်များကို ချိတ်ဆက်ပေးသည်၊ ပုံ URL များအတွက် SSRF ကာကွယ်မှု
pii-masker	10	ခေါ်ဆိုမှုမတိုင်မီနှင့် ခေါ်ဆိုပြီးနောက် PII ဖယ်ရှားဖုံးကွယ်ခြင်း (အီးမေးလ်၊ ဖုန်း၊ CPF၊ CNPJ၊ ခရက်ဒစ်ကတ်၊ SSN)
prompt-injection	20	အစားထိုးရေးသားမှု/အခန်းကဏ္ဍအပိုင်စီးမှု/jailbreak/ပေါက်ကြားမှုပုံစံများကို ရှာဖွေသည်

စိတ်ကြိုက်ကန့်သတ်ကာကွယ်မှုများကို registerGuardrail(new MyGuardrail()) မှတစ်ဆင့် မှတ်ပုံတင်နိုင်သည်။ မော်ဒယ်သည် fail-open ဖြစ်သည် (exception များက traffic ကို မည်သည့်အခါမျှ ပိတ်ဆို့ခြင်းမရှိပါ)။ တောင်းဆိုမှုတစ်ခုချင်းစီအတွက် x-omniroute-disabled-guardrails header မှတစ်ဆင့် အသုံးမပြုရန် ရွေးချယ်နိုင်သည်။ → docs/security/GUARDRAILS.md ကို ကြည့်ပါ။

🧠 Prompt Injection ကာကွယ်မှု

LLM တောင်းဆိုမှုများအတွင်းရှိ prompt injection ပုံစံများကို ရှာဖွေသည့် တတ်နိုင်သမျှ အကောင်းဆုံး heuristic middleware ဖြစ်သည်။ ပြည့်စုံသော prompt-injection firewall မဟုတ်ပါ — မှားယွင်းသော positive များ (အန္တရာယ်မရှိသည့် persona/RPG prompt များ) နှင့် မှားယွင်းသော negative များ (leetspeak၊ စာလုံးခြားခြင်း၊ အင်္ဂလိပ်မဟုတ်သော ပုံစံများ) ဖြစ်ပေါ်နိုင်သည်။

ပုံစံအမျိုးအစား	ပြင်းထန်မှု	ဥပမာ
စနစ်အစားထိုးရေးသားမှု	မြင့်	"ယခင်ညွှန်ကြားချက်အားလုံးကို လျစ်လျူရှုပါ"
အခန်းကဏ္ဍအပိုင်စီးမှု	အလယ်အလတ်	"သင်သည် ယခု DAN ဖြစ်ပြီး ဘာမဆို လုပ်နိုင်သည်"
ပိုင်းခြားသင်္ကေတ ထည့်သွင်းမှု	မြင့်	အကြောင်းအရာနယ်နိမိတ်များကို ချိုးဖျက်ရန် ကုဒ်ပြောင်းထားသော ပိုင်းခြားသင်္ကေတများ
DAN/Jailbreak	အလယ်အလတ်	လူသိများသော jailbreak prompt ပုံစံများ
ညွှန်ကြားချက် ပေါက်ကြားမှု	မြင့်	"သင်၏ system prompt ကို ပြပါ"
ကုဒ်ပြောင်း၍ ရှောင်တိမ်းမှု	အလယ်အလတ်	base64/rot13/hex decode + ညွှန်ကြားချက် keyword များ

block မုဒ်တွင် High ပြင်းထန်မှုအဆင့်ရှိ ရှာဖွေတွေ့ရှိချက်များကိုသာ ပိတ်ဆို့သည်။ အလယ်အလတ်ပြင်းထန်မှုရှိ အုပ်စုများကို မှတ်တမ်းတင်သော်လည်း sanitizeRequest က မည်သည့်အခါမျှ ပိတ်ဆို့ခြင်းမရှိပါ။

Dashboard (Settings → Security) သို့မဟုတ် .env မှတစ်ဆင့် စီစဉ်သတ်မှတ်ပါ-

INPUT_SANITIZER_ENABLED=true
INPUT_SANITIZER_MODE=block    # သတိပေးရန် | ပိတ်ဆို့ရန် (ထည့်သွင်းတိုက်ခိုက်မှု မူဝါဒ၊ အဟောင်း "redact" သည် ထည့်သွင်းတိုက်ခိုက်မှု စာသားကို မဖယ်ရှားပါ)
INPUT_SANITIZER_BLOCK_THRESHOLD=high  # မြင့် (မူလ) | အလယ်အလတ် | နိမ့် — ဤအဆင့်နှင့်အထက် ပြင်းထန်မှုများကို ပိတ်ဆို့မုဒ်တွင် ပိတ်ဆို့သည်

🔒 PII ဖယ်ရှားဖုံးကွယ်ခြင်း

ပုဂ္ဂိုလ်ရေးအထောက်အထားဖော်ထုတ်နိုင်သော အချက်အလက်များကို အလိုအလျောက်ရှာဖွေခြင်းနှင့် စိတ်ကြိုက်ဖယ်ရှားဖုံးကွယ်ခြင်း-

PII အမျိုးအစား	ပုံစံ	အစားထိုးတန်ဖိုး
အီးမေးလ်	user@domain.com	[EMAIL_REDACTED]
CPF (ဘရာဇီး)	123.456.789-00	[CPF_REDACTED]
CNPJ (ဘရာဇီး)	12.345.678/0001-00	[CNPJ_REDACTED]
ခရက်ဒစ်ကတ်	4111-1111-1111-1111	[CC_REDACTED]
ဖုန်း	+55 11 99999-9999	[PHONE_REDACTED]
SSN (အမေရိကန်)	123-45-6789	[SSN_REDACTED]

PII_REDACTION_ENABLED=true   # တောင်းဆိုချက်ရှိ PII ကို ပြန်လည်ရေးသားရန်၊ INPUT_SANITIZER_MODE နှင့် သီးခြားဖြစ်သည်
PII_RESPONSE_SANITIZATION=true  # စိတ်ကြိုက်ရွေးချယ်နိုင်သည်- ကလိုင်းယင့်များထံ ပြန်ပို့သည့် ပံ့ပိုးသူတုံ့ပြန်ချက်များရှိ PII ကို ဖျောက်ရန်

🌐 ကွန်ရက်လုံခြုံရေး

လုပ်ဆောင်ချက်	ဖော်ပြချက်
CORS	မူရင်းဒိုမိန်းမတူသည့် တောင်းဆိုမှုများအတွက် ခွင့်ပြုစာရင်းကို အတိအလင်း သတ်မှတ်ခြင်း (CORS_ALLOWED_ORIGINS; အဟောင်း CORS_ORIGIN)
IP စစ်ထုတ်ခြင်း	ဒက်ရှ်ဘုတ်ရှိ ခွင့်ပြုစာရင်း/ပိတ်ပင်စာရင်း IP အပိုင်းအခြားများ
နှုန်းထားကန့်သတ်ခြင်း	ပံ့ပိုးသူတစ်ဦးချင်းစီအလိုက် နှုန်းထားကန့်သတ်ချက်များနှင့် အလိုအလျောက် နောက်ဆုတ်စောင့်ဆိုင်းမှု
တစ်ပြိုင်နက်ဝင်ရောက်မှု တားဆီးခြင်း	Mutex + ချိတ်ဆက်မှုတစ်ခုချင်းစီအလိုက် လော့ခ်ချခြင်းဖြင့် ဆက်တိုက်ဖြစ်ပေါ်သော 502 များကို တားဆီးသည်
TLS လက်ဗွေ	ဘော့တ်ရှာဖွေတွေ့ရှိမှုကို လျှော့ချရန် ဘရောက်ဇာပုံစံ TLS လက်ဗွေကို အတုယူခြင်း
CLI လက်ဗွေ	မူရင်း CLI လက်မှတ်များနှင့် ကိုက်ညီစေရန် ပံ့ပိုးသူတစ်ဦးချင်းစီအလိုက် header/body အစီအစဉ်သတ်မှတ်ခြင်း

🔌 ခံနိုင်ရည်နှင့် ရရှိနိုင်မှု

လုပ်ဆောင်ချက်	ဖော်ပြချက်
Circuit Breaker	ပံ့ပိုးသူတစ်ဦးချင်းစီအလိုက် အခြေအနေ 3 မျိုး (ပိတ်ထား → ဖွင့်ထား → တစ်ဝက်ဖွင့်ထား)၊ SQLite တွင် သိမ်းဆည်းထားသည်
တောင်းဆိုချက် Idempotency	ထပ်နေသောတောင်းဆိုချက်များအတွက် 5 စက္ကန့်ကြာ ထပ်တူဖယ်ရှားသည့် အချိန်ကာလ
Exponential Backoff	တိုးမြင့်လာသော နှောင့်နှေးချိန်များဖြင့် အလိုအလျောက် ပြန်လည်ကြိုးစားခြင်း
ကျန်းမာရေး ဒက်ရှ်ဘုတ်	ပံ့ပိုးသူများ၏ အခြေအနေကို အချိန်နှင့်တစ်ပြေးညီ စောင့်ကြည့်ခြင်း

📋 စည်းမျဉ်းလိုက်နာမှု

လုပ်ဆောင်ချက်	ဖော်ပြချက်
မှတ်တမ်းထိန်းသိမ်းမှု	CALL_LOG_RETENTION_DAYS ပြည့်ပြီးနောက် အလိုအလျောက် ရှင်းလင်းခြင်း
မှတ်တမ်းမတင်ရန် ရွေးချယ်မှု	API key တစ်ခုချင်းစီအလိုက် noLog အလံဖြင့် တောင်းဆိုချက်မှတ်တမ်းတင်ခြင်းကို ပိတ်ထားသည်
စာရင်းစစ်မှတ်တမ်း	စီမံခန့်ခွဲရေးလုပ်ဆောင်ချက်များကို audit_log ဇယားတွင် မှတ်တမ်းတင်ထားသည်
MCP စာရင်းစစ်	MCP tool ခေါ်ဆိုမှုအားလုံးအတွက် SQLite အခြေပြု စာရင်းစစ်မှတ်တမ်းတင်ခြင်း
Zod အတည်ပြုခြင်း	API ထည့်သွင်းမှုအားလုံးကို module load လုပ်ချိန်တွင် Zod v4 schemas များဖြင့် အတည်ပြုသည်

---

လိုအပ်သော Environment Variable များ

Server ကို စတင်ခြင်းမပြုမီ secret အားလုံးကို သတ်မှတ်ထားရမည်။ ၎င်းတို့ ပျောက်ဆုံးနေပါက သို့မဟုတ် လုံခြုံမှုအားနည်းပါက server သည် ချက်ချင်း ရပ်တန့်မည်။

# မဖြစ်မနေ လိုအပ်သည် — ဤအရာများမရှိပါက server စတင်မည်မဟုတ်ပါ:
JWT_SECRET=$(openssl rand -base64 48)     # အနည်းဆုံး စာလုံး 32 လုံး
API_KEY_SECRET=$(openssl rand -hex 32)    # အနည်းဆုံး စာလုံး 16 လုံး

# အသုံးပြုရန် အကြံပြုသည် — သိမ်းဆည်းထားစဉ် ကုဒ်ဝှက်ခြင်းကို ဖွင့်ပေးသည်:
STORAGE_ENCRYPTION_KEY=$(openssl rand -hex 32)

Server သည် changeme, secret သို့မဟုတ် password ကဲ့သို့ လုံခြုံမှုအားနည်းကြောင်း သိရှိထားသည့် တန်ဖိုးများကို တက်ကြွစွာ ငြင်းပယ်သည်။

---

Docker လုံခြုံရေး

• Production တွင် root မဟုတ်သော user ကို အသုံးပြုပါ
• Secret များကို read-only volume များအဖြစ် mount လုပ်ပါ
• .env file များကို Docker image များအတွင်း မည်သည့်အခါမျှ copy မလုပ်ပါနှင့်
• အရေးကြီးသော file များကို ဖယ်ထုတ်ရန် .dockerignore ကို အသုံးပြုပါ
• HTTPS နောက်ကွယ်တွင် အသုံးပြုသည့်အခါ AUTH_COOKIE_SECURE=true ဟု သတ်မှတ်ပါ

docker run -d \
  --name omniroute \
  --restart unless-stopped \
  --read-only \
  -p 20128:20128 \
  -v omniroute-data:/app/data \
  -e JWT_SECRET="$(openssl rand -base64 48)" \
  -e API_KEY_SECRET="$(openssl rand -hex 32)" \
  -e STORAGE_ENCRYPTION_KEY="$(openssl rand -hex 32)" \
  diegosouzapw/omniroute:latest

---

Dependency များ

• npm audit ကို ပုံမှန် run ပါ (npm run audit:deps သည် main + electron ကို လွှမ်းခြုံသည်)
• Dependency များကို နောက်ဆုံးဗားရှင်းအဖြစ် ထိန်းသိမ်းပါ
• Project သည် pre-commit စစ်ဆေးမှုများအတွက် husky + lint-staged ကို အသုံးပြုသည် (lint-staged + check-docs-sync + check:any-budget:t11)
• CI pipeline သည် push တိုင်းတွင် ESLint လုံခြုံရေးစည်းမျဉ်းများကို run သည် (no-eval, no-implied-eval, no-new-func = error)
• Provider constant များကို module load လုပ်ချိန်၌ Zod ဖြင့် အတည်ပြုစစ်ဆေးသည် (src/shared/validation/schemas.ts)
• ပုံသေအားဖြင့် လုံခြုံသော library များကို အသုံးပြုထားသည်- dompurify / isomorphic-dompurify (XSS), jose (JWT), better-sqlite3 (parameterized query များကြောင့် SQLi အန္တရာယ်မရှိ), bcryptjs (password hashing)

တင်းကျပ်သော လုံခြုံရေးစည်းမျဉ်းများ

ဤစည်းမျဉ်းများကို tooling နှင့် reviewer များက မဖြစ်မနေ လိုက်နာစေသည်-

1. Secret များကို မည်သည့်အခါမျှ commit မလုပ်ပါနှင့် — .env ကို gitignore လုပ်ထားသည်၊ .env.example သည် template ဖြစ်သည် (literal များမပါဝင်ဘဲ comment များသာ ပါဝင်သည် — အောက်ပါ PUBLIC_CREDS.md ကို ကြည့်ပါ)
2. eval(), new Function() သို့မဟုတ် implied eval ကို မည်သည့်အခါမျှ မသုံးပါနှင့် — ESLint က မဖြစ်မနေ လိုက်နာစေသည်
3. Operator ၏ အတိအလင်း ခွင့်ပြုချက်မရှိဘဲ Husky hook များကို မည်သည့်အခါမျှ ကျော်မသွားပါနှင့် (--no-verify, --no-gpg-sign)
4. Route များအတွင်း raw SQL ကို မည်သည့်အခါမျှ မရေးပါနှင့် — src/lib/db/ (parameterized) မှတစ်ဆင့် အမြဲလုပ်ဆောင်ပါ
5. Input များကို Zod ဖြင့် အမြဲတမ်း အတည်ပြုစစ်ဆေးပါ — src/shared/validation/schemas.ts
6. Upstream header များကို အမြဲတမ်း သန့်စင်ပါ — denylist ကို src/shared/constants/upstreamHeaders.ts တွင် သတ်မှတ်ထားသည်
7. သိမ်းဆည်းထားသော credential များကို ကုဒ်ဝှက်ပါ — src/lib/db/encryption.ts မှတစ်ဆင့် AES-256-GCM ကို အသုံးပြုပါ
8. Public upstream OAuth identifier များအတွက် resolvePublicCred() ကို အသုံးပြုပါ — AIza… / GOCSPX-… / …apps.googleusercontent.com literal များကို source အတွင်း မည်သည့်အခါမျှ တိုက်ရိုက်မထည့်ပါနှင့်။ docs/security/PUBLIC_CREDS.md ကို ကြည့်ပါ။
9. Error response များကို buildErrorBody() / sanitizeErrorMessage() မှတစ်ဆင့် ပေးပို့ပါ — raw err.stack / err.message ကို HTTP / SSE / executor / MCP response body များအတွင်း မည်သည့်အခါမျှ မထည့်ပါနှင့်။ docs/security/ERROR_SANITIZATION.md ကို ကြည့်ပါ။
10. exec() / spawn() runtime value များကို env option မှတစ်ဆင့် ပေးပါ — ပြင်ပ path များ သို့မဟုတ် မယုံကြည်ရသော တန်ဖိုးများကို shell မှတစ်ဆင့် ပေးပို့သည့် script များအတွင်း string interpolation မည်သည့်အခါမျှ မလုပ်ပါနှင့်။ ကိုးကားရန်- src/mitm/cert/install.ts::updateNssDatabases။
11. ပုံသေအားဖြင့် လုံခြုံသော library များကို ဦးစားပေးပါ — tldrsec/awesome-secure-defaults (Helmet.js, DOMPurify, ssrf-req-filter, safe-regex, Google Tink) ကို ကြည့်ပါ။ ကိုယ်တိုင် ဖန်တီးအကောင်အထည်မဖော်မီ ၎င်းတို့ကို ဦးစွာ အသုံးပြုရန် စဉ်းစားပါ။

Supply-chain စကင်နာ တွေ့ရှိချက်များ (Socket.dev / Snyk / အလားတူ)

စစ်ဆေးမှုအတိုင်းအတာ မှတ်ချက်: repository root ရှိ socket.yml သည် ထုတ်ဝေထားသော npm artifact ကို Socket.dev ၏ registry ဘက်ခြမ်းမှ ထုတ်ဝေပြီးနောက် စကင်ဖတ်ရာတွင် projectIgnorePaths ကိုသာ သတ်မှတ်ပေးသည် — ၎င်းသည် မဖြစ်မနေလိုက်နာရသော CI/PR merge gate မဟုတ်ပါ။ .github/workflows ရှိ မည်သည့် workflow ကမျှ၊ package.json script ကမျှ၊ Makefile target ကမျှ Socket.dev ကို ခေါ်ယူအသုံးပြုခြင်း မရှိပါ။

ထုတ်ဝေထားသော omniroute npm artifact တွင် Next.js output: "standalone" build ပါဝင်ထည့်သွင်းထားသည်။ ဆိုလိုသည်မှာ မှတ်တမ်းတင်ဖော်ပြထားသော အထူးအခွင့်အရေးလိုအပ်သည့် လုပ်ဆောင်ချက်များ (MITM၊ Zed import၊ Cloud Sync၊ ထည့်သွင်းထားသော service supervisor) အပါအဝင် route handler တိုင်းသည် .next/server/*.js minified chunk များထဲသို့ ရောက်ရှိသွားသည်။ Heuristic supply-chain စကင်နာများသည် ထို chunk များကို malware signature များနှင့် မကြာခဏ pattern-match လုပ်လေ့ရှိသည်။

ကျွန်ုပ်တို့အသုံးပြုသည့် စကင်နာ configuration သည် repository root ရှိ socket.yml တွင် တည်ရှိသည် (Socket.dev GitHub App format v2 — ကြည့်ရန် https://docs.socket.dev/docs/socket-yml)။ စကင်နာသည် အမှန်တကယ် ထုတ်ဝေထားသော အသုံးပြုသူများထံ ရောက်ရှိသည့် code path များကိုသာ အစီရင်ခံစေရန် ဖြန့်ချိမှုတွင် မပါဝင်သော directory များ (tests/, _tasks/, _references/, _ideia/, _mono_repo/, docs/ စသည်တို့) ကို အတိအလင်း ဖယ်ထုတ်ထားသည် — စကင်ဖတ်ခြင်းကို ဤ repository ရှိ workflow တစ်ခုက လုပ်ဆောင်ခြင်းမဟုတ်ဘဲ ထိုဖိုင်ကို ဖတ်သည့် Socket GitHub App က လုပ်ဆောင်ခြင်းဖြစ်သည်။

တွေ့ရှိချက်အမျိုးအစားတစ်ခုစီအတွက် တွေ့ရှိချက်အလိုက် maintainer အတည်ပြုချက်ကို ထိန်းသိမ်းထားသည်-

• docs/security/SOCKET_DEV_FINDINGS.md — တွေ့ရှိချက်အလိုက် မြေပုံ- source file ↔ အမှတ်အသားပြုခံရသော chunk ↔ လုပ်ဆောင်ပုံ ↔ v3.8.6 တွင် အသုံးပြုထားသော လျော့ပါးကာကွယ်မှု။
• အမှတ်အသားပြုခံရသော function နေရာတစ်ခုစီရှိ source အတွင်းမှ SECURITY-AUDITOR-NOTE: block များသည် အလားတူ document ကို ပြန်လည်ညွှန်းဆိုထားသည်။

alert ကို လျှော့ပေါ့ခွင့်မပြုနိုင်သော pipeline အသုံးပြုသူများအတွက်- OMNIROUTE_BUILD_PROFILE=minimal npm run build ဖြင့် build လုပ်ပါ။ ၎င်းသည် အရေးကြီးသည့် module လေးခုကို runtime တွင် HTTP 503 feature-disabled ပြန်ပေးသော stub များဖြင့် အစားထိုးသဖြင့် အထူးအခွင့်အရေးလိုအပ်သည့် code path များသည် bundle ထဲတွင် ရုပ်ပိုင်းဆိုင်ရာအရ လုံးဝပါဝင်တော့မည်မဟုတ်ပါ။ ထုတ်ဝေခြင်းနည်းလမ်းအတွက် docs/security/SOCKET_DEV_FINDINGS.md ကို ကြည့်ပါ။

ကိုးကားချက်များ

• docs/architecture/AUTHZ_GUIDE.md — ခွင့်ပြုချက်သတ်မှတ်ခြင်း pipeline
• docs/security/GUARDRAILS.md — guardrails framework
• docs/security/COMPLIANCE.md — audit log နှင့် ထိန်းသိမ်းထားရှိမှု
• docs/security/PUBLIC_CREDS.md — အများသုံး upstream credential များအတွက် မဖြစ်မနေလိုအပ်သော pattern
• docs/security/ERROR_SANITIZATION.md — error response များအတွက် မဖြစ်မနေလိုအပ်သော pattern
• docs/security/SOCKET_DEV_FINDINGS.md — supply-chain scanner တွေ့ရှိချက်များအတွက် maintainer အတည်ပြုချက်
• docs/architecture/RESILIENCE_GUIDE.md — circuit breaker + cooldown + lockout
• docs/security/STEALTH_GUIDE.md — TLS fingerprinting (ဥပဒေရေးရာ/ကျင့်ဝတ်ဆိုင်ရာ အသိပေးချက်)
• CLAUDE.md — AI agent များအတွက် တင်းကျပ်သော စည်းမျဉ်းများ
• tldrsec/awesome-secure-defaults — secure-by-default library များကို ရွေးချယ်စုစည်းထားသည့် စာရင်း