guko/SECURITY.md

安全说明

GUKO 是自部署服务器管理 Bot。它会保存 SSH 凭据，并能触发预置的只读/测试类任务；当前定位不是通用远程命令执行工具。请按下面规则部署。

必须自建 Bot

• 不要使用别人提供的公共 Bot。
• 请在 Telegram BotFather 创建自己的 Bot，并把 token 写入 .env 的 BOT_TOKEN。
• 不要把 Bot Token 提交到 GitHub、截图或发到群聊。

必须白名单

• ALLOWED_USERS 不能为空；为空时程序会拒绝启动。
• 非白名单用户只能看到“无权限”和自己的 Telegram ID。
• 建议只允许自己的 Telegram 用户 ID。
• 不建议把 Bot 加入群聊；如果一定要加群，也不要把群成员都加入白名单。

管理员权限

• ADMIN_USERS 为空时默认等于 ALLOWED_USERS。
• 管理员可以添加/修改服务器、管理凭据，并触发预置测试任务。
• 普通白名单用户只能查看和运行允许的只读功能。

SSH 密钥和密码

• 推荐使用 SSH 密钥，不推荐密码。
• 通过 Telegram 发送私钥/密码会经过 Telegram 云端；如果介意，请手动把密钥放到服务器 ./keys 目录，然后在配置里写路径。
• Bot 保存上传的私钥时会放到 /data/keys/ 并设置 0600 权限。
• Bot 不会在回复里回显私钥或密码。

远程命令

• /run 默认关闭。
• 这等价于远程 SSH 执行命令，风险很高，请谨慎开启。

开源/备份

不要提交或公开：

• .env
• servers.json
• keys/
• docker-compose.yml 中的真实环境变量
• 任何 Bot Token、SSH 密码、私钥、真实服务器 IP 清单

仓库只应提交：

• .env.example
• servers.example.json
• docker-compose.example.yml