应创校园服务围绕“身份可信、最小权限、全程留痕、数据可恢复”设计安全能力。物理环境安全由合规云服务商承担；应用、网络、数据、审计与管理侧能力由应创负责落地并持续改进。
一、身份鉴别
- 管理员账号强制启用 TOTP 双因素认证（MFA），密码采用大小写字母、数字与特殊符号组合；
- 最小长度 8 位，90 天强制更换，禁止复用最近 5 次历史密码；
- 连续 5 次密码错误临时锁定账号，后台 15 分钟无操作自动注销，PC 客户端与家长端 30 分钟超时；
- 记录登录源 IP、终端标识、时间与结果，异地登录触发告警并支持远程踢下线。
二、访问控制
- 业务权限沿“学校 → 年级 → 班级 → 学生”四级标签隔离，跨校查询在服务端直接拦截；
- 所有接口强制鉴权，权限判断不依赖前端隐藏按钮，后端逐接口校验并记录越权尝试；
- 系统管理员、安全管理员、审计管理员三权分立，权限相互隔离、互不越位；
- VPS 边界部署防火墙与 WAF，SSH、数据库等运维端口仅开放白名单 IP。
三、安全审计
- 覆盖登录登出、账号变更、学生名单导入、成绩增删改、评价录入修改、数据导出、权限变更、密码修改、存储访问、配置变更与异常登录；
- 日志字段包含账号、姓名、学校、源 IP、终端、时间、操作类型、对象、修改前后内容与结果；
- 审计日志独立存储，留存不少于 12 个月，普通运维人员不得删除或篡改；
- 导出报表与审计日志自动添加学校名称、操作人与导出时间水印，导出动作本身也计入审计。
四、数据安全
- 学籍号、学生姓名、家长手机号、成绩、评价、请假记录等核心敏感数据仅存备案 VPS；
- 数据库 TDE 透明加密、对象存储 SSE 服务端加密、客户端与 API 全链路 TLS 1.3；
- 日志与导出文件对手机号、学籍号进行脱敏，敏感操作二次确认并留痕；
- 每日全量、4 小时增量备份；挂机宝缓存节点不保存敏感数据唯一副本，定时同步回主存储；
- 学生毕业或转出采用归档封存，不物理删除历史成绩与评价；数据销毁须走审批流程。
五、客户端安全
- Windows 客户端启用上下文隔离、禁用 Node 集成与远程模块，所有窗口外链均经系统浏览器确认；
- 不在本地持久化保存学籍号、家长手机号等敏感字段明文；退出时清理敏感内存；
- 客户端不申请多余系统权限，不静默扫描本地文件，不采集额外设备隐私；
- 安装包与更新包校验哈希，正式发布版本使用代码签名，防止劫持投毒。
六、入侵防范与漏洞管理
- WAF 拦截 SQL 注入、XSS、文件上传漏洞与路径遍历，HIDS 监控异常进程、外联与文件篡改；
- Excel 导入校验后缀与大小、拦截宏病毒，禁止上传可执行程序；
- 接口防重放、CSRF 防护、限流与独立批量导入限流，防止拖库与遍历；
- 每月漏洞扫描、每半年第三方渗透测试，高危漏洞限期修复并留存整改记录；
- 维护第三方组件清单，定期巡检 SDK、数据库与中间件漏洞。
七、应急响应与合规
- 制定正式应急响应预案，每年至少开展一次演练并留存记录；
- 每季度至少一次备份恢复验证，留存演练记录；
- 配置批量导出、异地登录、高频失败登录、三权账号操作等告警规则；
- 向教育局交付数据须经审批并签署 DPA；学校间数据禁止互通。
本页面为应创校园服务安全能力说明，不构成等保测评机构的正式测评结论。实际安全等级以第三方测评报告与学校部署环境为准。安全事件与漏洞报告请联系 security@emsapp.iacd.cn。