安全说明¶
推荐的用户账号¶
出于安全原因，请避免使用 root（或其他管理员账号）运行命令。尽量遵循最小权限原则（least privilege）。
文件权限加固¶
- 在宿主机（包括容器宿主机）以及容器内部，建议将
umask设置为0027或更严格。这样新建目录默认权限不超过750，新建文件默认权限不超过640。 - 对个人数据、专有数据、源码以及 PTO 指令开发过程中产生的中间产物等敏感资产，设置合适的访问控制。建议的“最大权限”见“附录 A”。
- 安装与使用过程中，确保安装目录与输入数据文件的权限配置合理。
构建安全¶
从源码构建本项目时会在本地编译并产生中间构建产物。构建完成后，请限制这些产物的权限以保护敏感数据。
运行时安全¶
- 若某条 PTO 指令实现遇到运行时错误，可能会终止进程并打印错误信息。可利用错误输出定位根因（例如检查必要同步是否存在，或在可用时查看日志）。
公网地址引用¶
本仓库包含对以下公网 URL 的引用：
| 类型 | 开源 URL | 文件 | 公网 URL | 目的 |
|---|---|---|---|---|
| 依赖 | N/A | cmake/third_party/makeself-fetch.cmake | https://gitcode.com/cann-src-third-party/makeself/releases/download/release-2.5.0-patch1.0/makeself-release-2.5.0-patch1.tar.gz | 下载 makeself 源码作为构建依赖 |
| 依赖 | N/A | cmake/third_party/json.cmake | https://gitcode.com/cann-src-third-party/json/releases/download/v3.11.3/include.zip | 下载 json 头文件作为构建依赖 |
| 依赖 | N/A | cmake/third_party/gtest.cmake | https://gitcode.com/cann-src-third-party/googletest/releases/download/v1.14.0/googletest-1.14.0.tar.gz | 下载 GoogleTest 作为构建/测试依赖 |
附录¶
附录 A：推荐的最大权限¶
| 场景 | 推荐的最大 Linux 权限 |
|---|---|
| 用户家目录 | 750 (rwxr-x---) |
| 程序文件（脚本、库等） | 550 (r-xr-x---) |
| 程序目录 | 550 (r-xr-x---) |
| 配置文件 | 640 (rw-r-----) |
| 配置目录 | 750 (rwxr-x---) |
| 日志文件（归档/已完成） | 440 (r--r-----) |
| 日志文件（持续写入） | 640 (rw-r-----) |
| 日志目录 | 750 (rwxr-x---) |
| 调试文件 | 640 (rw-r-----) |
| 调试目录 | 750 (rwxr-x---) |
| 临时目录 | 750 (rwxr-x---) |
| 维护/升级目录 | 770 (rwxrwx---) |
| 业务数据文件 | 640 (rw-r-----) |
| 业务数据目录 | 750 (rwxr-x---) |
| 密钥/私钥/证书/密文目录 | 700 (rwx------) |
| 密钥/私钥/证书/密文文件 | 600 (rw-------) |
| 密码学接口与脚本 | 500 (r-x------) |