安全模型與隱私承諾
Gately 執行在網路邊界，經手 DNS 服務商金鑰、憑證私鑰與各類憑據，因此安全與透明是首要設計目標。
隱私承諾
- 預設零外連：不連線任何專案方伺服器，不回報裝置資訊，不下發遠端設定。
- 對外位址可見可改：公網 IP 查詢、STUN 伺服器等位址都在介面中顯示，可修改或關閉。
- 第三方登入自主：GitHub、Google、QQ、OIDC 登入使用你自己申請的 OAuth 應用程式，不經過任何中轉。
- 自主升級：程式不會在背景下載或替換自身；Linux 執行檔部署的線上升級只在管理員點擊後執行，並核對 SHA-256、保留舊版本，升級時機由你決定。
資料保護
- 設定為純文字 JSON，檔案權限 0600，可稽核、可回復。
- 敏感欄位在 API 輸出中會遮蔽。
- cloudflared 的權杖透過環境變數傳遞，不會出現在行程清單中；frp、Tailscale 的權杖與金鑰以 0600 權限儲存。
驗證與存取控制
- bcrypt 密碼雜湊，HMAC 簽章工作階段權杖；
- 預設密碼
gately.cn是公開的，仍在使用時管理介面頂端持續提醒修改；忘記密碼或遺失兩步驟驗證器時只能在伺服器上用gately reset-password/gately reset-totp重設（需要讀寫設定目錄並輸入yes確認），重設後所有工作階段失效並記入稽核日誌，詳見 重設密碼與兩步驟驗證； - Passkey（WebAuthn）登入：只保存公鑰，強制使用者驗證（指紋、臉部或 PIN），簽章計數防複製；需要透過網域名稱與 HTTPS（或 localhost）存取；
- 兩步驟驗證（TOTP，已通過 RFC 6238 測試向量驗證）；
- 唯讀帳號：可檢視狀態與設定，不能修改、下載備份、讀取金鑰或開啟終端機；重設密碼或刪除後工作階段立即失效；
- 登入失敗限流；
- 本機反向代理：管理介面放在本機 nginx、haproxy 或 Gately Web 服務之後時，只信任本機位址送來的
X-Real-IP/X-Forwarded-For，僅限內網存取、登入限流與稽核日誌據此取得真實來源，可在「設定 → 存取控制」關閉或新增額外的可信代理； - 安全入口、僅限內網存取、管理介面 HTTPS；
- 飛牛統一閘道：飛牛安裝包經飛牛統一閘道存取時，由飛牛負責存取控制，只有飛牛管理員能開啟；「飛牛登入狀態自動登入」預設關閉，開啟後已登入的飛牛管理員以 Gately 管理員身分直接登入（略過兩步驟驗證），一般飛牛使用者仍需登入，詳見 飛牛 fnOS 原生應用；
- 功能模組開關：在「設定 → 功能模組」關閉不用的模組後，該模組不啟動服務、不提供管理介面，可縮小暴露面；
- 多權杖 API：每個權杖只擁有建立時勾選的模組讀寫權限，可設定到期時間，並記錄最近使用的來源 IP；帳號、兩步驟驗證、權杖管理以及備份、還原、重新啟動、系統設定介面只接受登入工作階段，詳見 API 權杖與 OpenAPI；
- 站台存取控制：驗證失敗自動封鎖、GeoIP 國家過濾、路徑規則，詳見 Web 服務；
- 設定備份支援加密（scrypt + AES-GCM），詳見 設定備份。
稽核與可追溯
操作稽核日誌記錄登入、設定變更與敏感存取，設定歷史保留每個設定檔被覆寫前的版本並支援一鍵還原，詳見 稽核與設定歷史。發佈檔案附帶 cosign 簽章、建置來源證明與 SBOM，驗證方法見 驗證發佈檔案。
高風險功能的預設值
本機 Shell 終端機預設關閉。SSH 終端機採用「首次信任」策略記錄主機金鑰指紋。
回報安全問題
請透過 GitHub 儲存庫的 Security 頁面私下回報漏洞，避免在公開 Issue 中揭露細節：https://github.com/wangwanjie/gately/security
更多實務建議請見 強化建議。