security.txt发布与漏洞响应治理（联系方式/策略）最佳实践

背景与价值security.txt为外部研究人员提供标准化联系方式与政策声明，便于快速报告与协作。统一规范必备字段：`Contact`、`Expires`、`Policy`、`Acknowledgments`（可选）。路径：`/.well-known/security.txt`。格式：RFC规范要求每行一个字段与URL或邮箱。核心实现生成与校验（示意）type SecTxt = { contact: string[]; expires: string; policy?: string; acknowledgments?: string }

function validUrl(s: string): boolean { try { const u = new URL(s); return u.protocol === 'https:' } catch { return false } }

function validEmail(s: string): boolean { return /^[^\s@]+@[^\s@]+\.[^\s]+$/.test(s) }

function render(t: SecTxt): string {

const lines: string[] = []

for (const c of t.contact) lines.push('Contact: ' + c)

lines.push('Expires: ' + t.expires)

if (t.policy) lines.push('Policy: ' + t.policy)

if (t.acknowledgments) lines.push('Acknowledgments: ' + t.acknowledgments)

return lines.join('\n')

}

function valid(t: SecTxt): boolean {

if (!t.expires) return false

if (t.contact.length === 0) return false

for (const c of t.contact) if (!(validUrl(c) || validEmail(c))) return false

if (t.policy && !validUrl(t.policy)) return false

if (t.acknowledgments && !validUrl(t.acknowledgments)) return false

return true

}

落地建议在主域与相关子域发布security.txt并保持字段有效与定期更新。验证清单Contact/Expires/Policy是否齐备且格式有效；路径与可访问性是否正确。