数据安全

安全架构

品应用 采用纵深防御的安全架构，从物理层、网络层、主机层、应用层、数据层五个维度构建全方位安全防护体系。

加密保护

传输加密

• 全站强制 HTTPS，支持 TLS 1.2 和 TLS 1.3，禁用不安全的加密套件；
• HSTS 强制浏览器使用 HTTPS，防止降级攻击；
• API 接口全部走 HTTPS，请求签名验证防篡改；
• 移动端与服务端通信使用证书锁定（Certificate Pinning）。

存储加密

• 数据库透明数据加密（TDE），AES-256 算法；
• 敏感字段（手机号、身份证、银行卡等）单独加密存储；
• 对象存储（文件、图片、语音）服务端加密（SSE）；
• 备份数据加密存储，密钥与数据分离管理；
• 密钥由 KMS（密钥管理服务）统一管理，支持定期轮换。

密码安全

• 用户密码使用 bcrypt 算法加盐哈希存储，不可逆；
• 强制密码复杂度要求（长度≥8位，包含大小写字母、数字、特殊字符）；
• 支持多因素认证（MFA）：短信验证码、邮箱验证码、TOTP 动态口令；
• 登录失败次数限制，异常登录提醒。

访问控制

身份认证

• 支持账号密码、短信验证码、企业微信/钉钉扫码、SSO 单点登录（SAML 2.0 / OIDC）；
• 多因素认证（MFA）可选开启，企业版可强制开启；
• 会话管理：Token 有效期控制，异地登录提醒，主动下线设备。

权限管理

• 基于角色的访问控制（RBAC），预设 5 种角色，支持自定义角色；
• 功能权限：精细化控制每个功能模块的查看/编辑/删除/导出权限；
• 数据权限：按组织架构、业务线、客户归属等维度控制数据可见范围；
• 字段级权限：敏感字段（如客户联系方式、合同金额）可单独控制可见性；
• 最小权限原则：新用户默认仅拥有基础权限，需管理员授权。

多租户隔离

• 逻辑隔离：每个企业租户的数据通过 tenant_id 严格隔离；
• 数据库层：所有查询强制携带 tenant_id 条件，防止越权访问；
• 企业版支持物理隔离：独立数据库实例，独立存储桶。

审计与监控

操作审计日志

系统记录所有用户的关键操作日志，包括：

• 登录/登出、密码修改、权限变更；
• 客户/商机/跟进记录的创建、编辑、删除；
• 数据导出、批量操作、API 调用；
• 设置变更、插件安装/卸载。

日志内容包含：操作人、操作时间、IP 地址、设备信息、操作类型、操作对象、变更前后内容。日志保留 12 个月，企业版可自定义保留期限，日志不可篡改、不可删除。

安全监控

• 7×24 小时安全运营中心（SOC）监控；
• 异常行为检测：异地登录、异常时段操作、批量数据导出、频繁失败登录；
• 实时告警：安全事件通过短信、邮件、企业微信即时通知安全团队；
• 威胁情报：接入威胁情报平台，及时发现新型攻击。

备份与容灾

数据备份

• 每日全量备份 + 实时增量备份，备份数据加密存储；
• 备份保留策略：日备份保留 30 天，周备份保留 12 周，月备份保留 12 个月；
• 备份数据异地存储，与生产数据物理隔离；
• 定期备份恢复演练，每季度一次，验证备份可用性。

容灾能力

• 多可用区（Multi-AZ）部署，单可用区故障自动切换；
• 异地灾备：核心数据实时同步到异地灾备中心；
• RPO（恢复点目标）≤ 1 小时，RTO（恢复时间目标）≤ 4 小时；
• 企业版支持同城双活 + 异地灾备的两地三中心架构。

应用安全

开发安全

• 安全开发生命周期（SDL）：需求分析、设计、编码、测试、发布全流程安全管控；
• 代码安全审计：自动化静态代码扫描（SAST）+ 人工代码审查；
• 依赖组件管理：第三方库漏洞扫描（SCA），及时修复高危漏洞；
• 安全测试：动态应用安全测试（DAST）、渗透测试，每年至少 2 次第三方渗透测试。

API 安全

• 所有 API 接口强制身份认证（API Key / OAuth 2.0）；
• 接口级权限控制，每个 API 对应明确的权限范围；
• 请求频率限制（Rate Limiting），防止滥用和 DDoS；
• 请求参数校验，防止注入攻击；
• API 调用全量日志，支持审计和追溯。

插件安全

• 插件运行在沙箱环境中，隔离主平台数据；
• 插件权限最小化：仅能访问 manifest.json 中声明权限范围内的数据；
• 插件上架前安全审核：代码审计、恶意行为检测、隐私合规检查；
• 用户安装插件时明确展示权限申请列表，用户知情同意；
• 企业版支持私有插件市场，仅允许安装企业审核通过的插件。

AI 安全

• 数据隔离：AI 模型训练使用匿名化、聚合化数据，不包含可识别个人身份的信息；
• 模型安全：AI 模型部署在隔离环境，防止模型窃取和对抗攻击；
• 内容过滤：AI 生成内容经过安全过滤，防止输出违法、违规、有害信息；
• 提示词注入防护：防护 Prompt Injection 攻击，防止 AI 被诱导执行恶意操作；
• 可解释性：AI 决策（如商机评分）提供可解释的依据，用户可查看评分维度；
• 人工复核：关键 AI 操作（如批量数据修改）需人工确认后执行。

合规认证

安全事件响应

我们建立了完善的安全事件响应机制，确保在发生安全事件时能够快速响应、最小化影响。

1. 发现与报告：安全团队 7×24 小时监控，任何员工或用户发现安全事件可通过 security@pwmapp.com 报告；
2. 评估与分级：根据事件影响范围和严重程度分级（一般/重要/紧急/特别重大）；
3. 遏制与根除：立即采取措施遏制事件扩大，定位根因并彻底清除；
4. 通知与披露：如涉及用户数据泄露，在 72 小时内通知受影响用户和监管机构；
5. 恢复与复盘：恢复正常服务，进行事件复盘，完善安全措施防止复发。

子处理者清单

为提供服务，我们可能委托以下第三方子处理者处理部分数据。我们与所有子处理者签订数据处理协议（DPA），要求其采取不低于我们标准的安全措施。

我们会定期更新子处理者清单，重大变更将提前通知用户。如需获取最新清单，请发送邮件至 privacy@pwmapp.com。