安全

应用在电脑上做什么

桌面应用在 Windows 上运行。游戏内悬浮层绘制在游戏窗口之上。

• 游戏数据只从游戏自身提供的官方本地来源读取：127.0.0.1 上 CS2 和 Dota 的 Game State Integration、World of Warcraft 的战斗日志文件，以及 iRacing 的共享内存。
• 这些来源只在同一台电脑上读取。
• 屏幕共享、游戏共享和剪辑录制只有在玩家开启后才会进行。
• 游戏剪辑保存在电脑本地。

应用不做什么

• 没有内核驱动。
• 不会向游戏进程注入代码。
• 不会读取其他程序的内存。唯一的例外是 iRacing 为此目的通过其 SDK 公开的共享内存。
• 不以管理员权限运行。

更新

每个更新都经过加密签名（通过 Tauri 更新器使用 minisign）。如果更新的签名与应用内置的密钥不匹配，应用会拒绝该更新。

更新通过 HTTPS 从 GitHub Releases 下载。

账户

• TeamBase 从不以明文保存密码。身份验证由 Supabase Auth 负责，密码使用 bcrypt 保存。
• 登录通过一个服务器函数进行，该函数使用验证码（Cloudflare Turnstile）、尝试次数限制和新设备的邮件验证。
• 注册和更改密码时，会用 k-anonymity 方法将密码与泄露密码数据库 Have I Been Pwned 进行比对。

数据访问

• 访问规则由服务器在数据库中通过行级安全（row-level security）强制执行。应用无法读取服务器不允许的私信、公会和频道。
• 语音通过 LiveKit（WebRTC）运行，传输过程中经过加密。
• 好友之间的游戏共享在电脑之间直接进行（peer-to-peer）。

测试与审查

每次发布前都会运行数千个自动化测试。桌面应用约有 1200 个后端测试和约 3900 个前端测试。

TeamBase 还会进行内部安全审查。最近一次在 2026 年 10 月 14 日，范围包括数据库规则、服务器函数、桌面应用和网站。发现的问题已在 0.1.96 版本中修复。

局限

源代码不是开源的。目前尚未进行独立的外部审计。计划在用户数量增长后进行。在此之前，欢迎外部报告。

报告漏洞

报告请发送至 support@teambase.lol。邮件中请说明问题以及复现所需的步骤。

• 请勿在其他用户的账户或数据上测试。
• 请勿进行拒绝服务攻击。
• 会在几天内回复。
• 如报告者希望，将在更新日志（changelog）中注明其姓名。