安全与权限治理

当前用户权限

WunoOS 不使用被移除的跨实例服务令牌/HMAC 网关。WunoBridge 在当前 Frappe 会话中执行，并接受角色、用户权限和文档权限约束。

审批与审计

高风险动作应先生成草稿，展示变更前与拟写入内容，再由有权限的用户批准或拒绝。执行结果保留可追踪记录。

凭据边界

密码、令牌、API Key 和连接器密钥只保存在私有环境文件、站点配置或受保护的密钥存储中，不写入源码、公开文档、日志、Issue 或提交记录。

数据与部署保护

• 集成时保留现有数据库、Redis、站点与命名卷。
• 除非明确要求永久删除，不执行 docker compose down -v。
• 生产入口只暴露 Frappe frontend，由反向代理处理 TLS 与安全响应头。