Colitu 安全评估报告

0概览

报告日期时的结果摘要。出于用户安全考虑，本版本不包含未解决发现的技术细节。

1执行摘要

构成 Colitu 服务的控制平面 API、Web 门户、管理界面、AI 辅助助手、企业（Business）控制台、支持与电子邮件渠道、社区机器人、浏览器扩展以及 Android 和 iOS 应用，已于 2026 年 10 月 25 日依据 OWASP 应用安全验证标准（ASVS）5.0 和 OWASP 移动应用安全验证标准（MASVS）v2.1 进行评估。

评估结果显示，没有严重、高危或中危级别的未解决发现。23 项未解决发现中，4 项为低危，19 项为信息级，且全部已纳入整改计划。

ASVS 5.0 级别 1 和级别 2 的 253 项要求均已逐项评估并有证据支持（附录 A）。在 200 项适用要求中，138 项完全满足，51 项部分满足；7 项要求不满足，4 项要求无法通过静态审查验证。大部分不满足的要求涉及文档、安全日志和加固方面。基于上述结果，本服务不声称完全符合 ASVS 5.0 级别 2。

在 MASVS 方面，两个移动平台完全满足密码学、身份验证和代码质量三个控制组，并基本满足存储、网络、平台交互和隐私四个控制组。

2范围

本次评估针对以下组件截至 2026 年 10 月 25 日的源代码和配置进行。

不在范围内的领域：Windows 和 Linux 桌面应用（另行评估）、VPN 服务器基础设施、第三方支付和 AI 服务提供商的系统、物理安全以及社会工程。

3方法与局限

评估中采用了以下方法：

• 对照 ASVS 验证要求、MASTG 测试用例和 OWASP Top 10 for LLM Applications 2025，对源代码进行人工和工具辅助的静态审查。
• 针对 ASVS 5.0 级别 1 和级别 2 的 253 项要求，逐项编制以源代码位置为证据的检查清单（附录 A）。
• 对依赖项扫描已知漏洞（Go 使用 govulncheck，JavaScript 使用 npm audit）。
• 配置审查：安全标头、内容安全策略、TLS、跨源资源共享（CORS）、容器权限和移动平台清单。
• 在第二轮审查中独立复核发现；已剔除误报，严重程度以这一轮结果为准。

局限：

• 未对线上系统进行动态测试（DAST）或渗透测试。
• 移动应用未在设备上进行动态测试。
• 本工作是由 Colitu 自行开展的内部评估，不能替代独立第三方审计或认证。

4评级标准

5OWASP ASVS 5.0 符合性评估

ASVS 5.0 级别 1 和级别 2 的 253 项要求已逐项评估。下表按章节列出结果；各项要求的具体状态见附录 A。

V10 基本不适用，是因为本服务仅作为服务器间服务账户的客户端；V17 基本不适用，是因为完全未使用 WebRTC。“部分”状态还包括要求基本得到满足、但缺少补充要素（文档、日志、限值等）的情况。

6OWASP MASVS v2.1 符合性评估

Android 和 iOS 应用依据 MASTG 测试用例，按照 MASVS v2.1 的八个控制组进行了评估。

7未解决发现摘要

截至报告日期，共有 23 项未解决发现；没有严重、高危或中危级别的未解决发现。4 项低危发现中，3 项的修复已准备就绪并正在上线（数据库访问角色、将安全日志导出至服务器之外、附件病毒扫描）。另有一项，即匿名应用统计数据可能被人为抬高，因其不含个人数据且仅影响统计准确性，已作为有理由的风险接受而关闭。

出于用户安全考虑，本公开版本不包含未解决发现的技术细节。这些发现已按以下目标时限纳入整改计划：

8已验证的安全控制

评估期间，已在源代码中验证以下控制措施得到落实。

9结论与声明

在所评估的组件中，没有严重、高危或中危级别的未解决发现。OWASP ASVS 5.0 级别 2 的要求在很大程度上得到满足，但要实现完全符合，仍需在文档、安全日志和加固方面加以改进。在 OWASP MASVS v2.1 方面，移动应用满足关键控制组。未解决发现将按上述时间表予以解决。

本报告不包含在评估期间发现、并已在报告日期之前解决的发现。评估将定期重复进行；每份新报告都会取代上一份报告。

A附录 A — OWASP ASVS 5.0 级别 1–2 检查清单

级别 1 和级别 2 的 253 项要求均已逐项评估。证据（源代码位置）保存在内部记录中。小节名称为 ASVS 的英文原名。