GitLab：负责任披露政策

如需报告任何安全漏洞，请发送电子邮件至 security@gitlab.com。我们会在下一个工作日确认收到您的漏洞报告，并努力定期向您通报进展。如果您想了解披露的处理状态，请随时再次给我们发邮件。如果您希望加密披露邮件，请发邮件向我们索取 PGP 密钥。

此外，您也可以通过 HackerOne 向我们提交报告。

请不要因报告漏洞而索要报酬。如果您愿意，我们会公开致谢您的负责任披露。在漏洞公告发布后，我们也会尽量公开该保密议题，示例请参见我们的冒充功能议题。如果双方均无异议，HackerOne 也会在 30 天后公开缺陷报告，示例请参见公开项目页面持久型 XSS 的报告。

不允许您在 GitLab.com 本身上搜索漏洞。GitLab 是开源软件，您可以自行安装一份并针对它进行测试。您可以下载 CE、EE 或 GitLab Development Kit。如果您希望在不自行部署 GitLab 的情况下进行测试，请联系我们，安排访问预发布（staging）服务器。

您可以在此处了解我们如何处理安全版本发布的更多细节。

在我们的网站上，您可以进一步了解 GitLab.com 的可用性与安全性。不属于漏洞的安全问题可以在我们的公开议题跟踪器中查看。

保密议题

发现漏洞时，我们会创建一个保密议题在内部跟踪。安全补丁会被推送到无法公开访问的 dev.gitlab.org，并合并到 security 分支。在安全版本公告发布且更新后的软件包可用之前，它们不应出现在 GitLab.com 上。

详情请参见我们的关键版本发布流程。