三层 Agent 防火墙
安全守护
Neurova 的每一颗星星都需要被守护。我们内置了多层安全防护：
| 层级 | 保护内容 |
|---|
| L0 入口守护 | JWT 认证、IP 黑白名单、速率限制、输入安全扫描 |
| L1 隔离守护 | 用户间硬隔离（不可关闭）、Agent 间可选隔离 |
| L2 输出守护 | API Key 脱敏、敏感路径拦截、文件类型保护 |
| L3 审计守护 | 操作审计日志、安全事件监控、异常行为检测 |
| L4 数据守护 | 数据加密存储、敏感信息匿名化、被遗忘权支持 |
你的每一颗星星都安全地属于你，任何人都无法窥探。
L0: 入口网关 + 输出脱敏
- JWT 认证 — 所有 API 请求强制身份验证
- IP 黑白名单 — 按来源 IP 控制访问
- 全局速率限制 — 由管理员统一配置，防止恶意请求
- 输入安全检测 — Prompt 注入、SQL 注入、命令注入、路径遍历实时拦截
- 输出自动脱敏 — API Key、Token、密码等敏感信息自动替换
L1: 用户与 Agent 双重隔离
| 隔离层级 | 默认状态 | 控制方式 |
|---|
| 用户间隔离 | 强制开启（不可关闭） | 用户 A 的 Agent 完全无法访问用户 B 的数据 |
| Agent 间隔离 | 默认关闭 | 用户可自行开启，隔离同用户下的 Agent |
隔离通过 ContextVar 作用域（agent/neuser/user 三层） 贯穿 SQL 强制 WHERE 实现。
L2: 文件访问保护
- 系统级禁止访问配置、密钥、文档、数据库等敏感文件
- 用户可追加自定义文件扩展名和路径的拦截规则
- Agent 工作区白名单，仅允许在 workspace/{user_id}/ 内自由读写
MCP 治理（P0 六项安全加固）
| 编号 | 漏洞 | 修复 |
|---|
| M1 | 未认证 RCE | 路由器加鉴权依赖，stdio 仅 admin |
| M2 | stdio command 无白名单 | shell 拒绝表 + 命令白名单 |
| M3 | 工具路由绕过防火墙 | 防火墙收敛进 call_tool 主路径 |
| M4 | 治理预检键名不全 | 全参数扫描（scan_all），分级 fail-closed |
| M5 | MCP 客户端跨用户单例 | 防火墙身份按请求穿透（ContextVar 注入） |
| M6-M10 | 配置分叉/死代码/键名 bug | 存储收敛、ToolEngine 懒获取、server_id 修复 |