本技能围绕 Tauri 生态安全展开，涵盖组织安全实践、依赖管理、漏洞报告与安全审计方法。
【安全理念与信任边界】 Tauri 采用纵深防御加人工监督的原则，认为“应用生命周期中最薄弱的环节决定了整体安全性”。它区分三类边界：Rust 后端代码为可信，拥有完整系统访问权限；前端代码为不可信，运行在系统 WebView 中；IPC 层是强制安全边界的通信桥梁。前端只能通过 IPC 层访问系统资源，权限由应用配置中定义的能力（capabilities）限制。
【组织安全实践】 构建流水线方面，Tauri 组织使用高度自动化的 GitHub Actions 工作流，部署前必须经过人工审核与批准，包括强制签名提交、每个 PR 至少一名维护者批准、默认安全检查在所有代码变更上运行。发布流程包括：审查代码修改并按范围分类 PR、维护当前依赖、在次版本与主版本发布前对安全相关 PR 进行内部安全审计、在开发分支打标签触发核心功能验证、测试执行、依赖安全审计、变更日志生成与制品创建，发布前审阅并编辑发布说明。
【依赖安全】 使用自动化工具识别有漏洞的包：Rust 依赖用 cargo audit，Node.js 依赖用 npm audit。进阶供应链工具可考虑 cargo vet（对照可信来源验证依赖）与 cargo crev（社区驱动的代码审查）。关键依赖应固定到具体 git 哈希版本而非浮动版本，示例：
[dependencies] critical-lib = { git = "https://github.com/org/repo", rev = "abc123def456" }
保持依赖更新： rustup update cargo install tauri-cli --locked cargo outdated
【应用生命周期威胁】 上游威胁：评估第三方库维护者可信度、维护状态与更新频率、已知漏洞、代码质量与审查实践。 开发威胁：默认开发服务器缺少加密与认证，会将前端资产暴露给本地网络，仅应在可信网络开发，不可信环境需实现双向 TLS（mTLS）。机器加固：日常编码避免使用管理员账户、开发机不存放生产密钥、防止密钥进入版本控制、使用硬件安全令牌、保持最小安装应用集、系统完全打补丁。源码控制：实施适当的仓库访问控制、要求所有贡献者签名提交。 构建期威胁：CI/CD 使用信誉良好的提供商或受控硬件自托管，工作流中显式固定 action 版本，例如使用 actions/checkout@v4.1.1 而非 @latest。可复现构建方面，Rust 和许多前端打包器默认无法可靠生成可复现构建，在工具改进前需高度信任 CI/CD 系统。 分发威胁：对清单服务器、构建系统和二进制托管的控制至关重要，可考虑可信第三方二进制分发方案。 运行时威胁：Tauri 假设 WebView 不安全，通过内容安全策略（CSP）、能力系统与运行时权限校验实施防护。
【内容安全策略（CSP）】 CSP 缓解跨站脚本（XSS）攻击，Tauri 自动处理打包资产的加密保护。配置示例：
{ "app": { "security": { "csp": { "default-src": "'self' customprotocol: asset:", "connect-src": "ipc: http://ipc.localhost", "font-src": ["https://fonts.gstatic.com"], "img-src": "'self' asset: http://asset.localhost blob: data:", "style-src": "'unsafe-inline' 'self' https://fonts.googleapis.com" } } } }
最佳实践：策略尽可能严格、仅白名单可信且尽量自有的主机、避免从 CDN 加载远程脚本、WebAssembly 前端需在 script-src 中包含 'wasm-unsafe-eval'。
【权限与能力】 权限描述管理前端命令访问的显式特权，示例：
src-tauri/permissions/my-permission.toml
[[permission]] identifier = "my-identifier" description = "Describes the impact and scope" commands.allow = ["read_file"]
[[scope.allow]] my-scope = "$HOME/*"
[[scope.deny]] my-scope = "$HOME/secret"
能力配置将权限授予特定窗口或 WebView，示例：
{ "identifier": "main-window-capability", "description": "Capability for the main window", "windows": ["main"], "permissions": ["core:default", "fs:read-files", "fs:scope-home"] }
能力可防护：前端被攻破后的影响最小化、意外的系统数据暴露、从前端到后端的权限提升。能力不能防护：恶意 Rust 代码、过于宽松的作用域、WebView 零日漏洞、供应链攻击。
命令作用域提供细粒度控制，deny 始终优先于 allow：
[[scope.allow]] path = "$APPLOCALDATA/**"
[[scope.deny]] path = "$APPLOCALDATA/EBWebView"
命令开发者必须通过仔细校验确保不存在作用域绕过。
运行时权限校验会拦截来自 WebView 的 IPC 请求、验证来源授权、确认能力包含、应用命令特定作用域，最终允许或拒绝执行，形成多层校验的纵深防御。
【漏洞报告】 应通过 GitHub 私有漏洞披露功能（首选）或 security@tauri.app 私下报告。不要通过 PR、GitHub issue、Discord、论坛发帖披露。Tauri 团队承诺及时分类、调查期间保密、遵循 90 天协调公开披露标准、提供可选的公开致谢。仅大于 1.0 的 Tauri 版本获得安全支持。
【安全审计清单】 发布前审计：依赖审计（cargo audit、npm audit 无严重漏洞、审查新依赖可信度、检查更新状态）；配置审计（CSP 已配置且严格、能力遵循最小权限、作用域正确拒绝敏感路径、无过于宽松的 glob 模式）；代码审计（IPC 命令校验所有输入、无作用域绕过漏洞、密钥未硬编码或记录日志、错误信息不泄露敏感信息）；构建审计（CI/CD action 固定到具体版本、构建制品签名、分发渠道安全）。 定期安全审查：上游（Tauri 更新到最新稳定版、Rust 工具链更新、前端依赖更新、已处理已知 CVE）；访问控制（仓库访问适当、强制提交签名、轮换 CI/CD 密钥、验证开发机安全）；运行时（已应用 WebView 安全补丁即操作系统更新、能力配置仍然适当、未使用已弃用权限）。
【已知安全公告模式】 根据历史公告需关注：iFrame 绕过漏洞（来源检查可能被规避）、文件系统作用域问题（glob 模式可能过于宽松）、符号链接绕过（文件操作可能意外跟随符号链接）、开放重定向风险（外部站点可能访问 IPC）、点文件处理（隐藏文件可能绕过作用域限制）。
【安全资源】 Tauri 安全文档：https://v2.tauri.app/security/ ；GitHub 安全公告：https://github.com/tauri-apps/tauri/security/advisories ；安全联系邮箱：security@tauri.app 。推荐工具：cargo audit（Rust 漏洞扫描）、npm audit（Node.js 漏洞扫描）、cargo vet（依赖验证）、cargo crev（社区代码审查）、cargo outdated（依赖新鲜度）。
【总结】 Tauri 生态安全需要贯穿整个应用生命周期：上游审计并固定依赖；开发阶段加固机器、保护源码控制；构建阶段安全 CI/CD、固定 action 版本；分发阶段控制托管基础设施；运行时配置 CSP、能力与作用域。框架提供了健壮的安全原语，但其有效性取决于正确配置与持续警惕。