公开 Issue 里的“能打进去”讨论不要当操作手册。只看 maintainer 是否关闭、是否发 advisory。
收到告警时#
- 记录当前版本与安装通道。
- 对照 advisory 的受影响范围。
- 升级后验证版本号，再轮换 CI 与本机 Token。
日常加固#
代理默认不要用管理员壳。生产密钥不进工作区。第三方 MCP 服务器当不信任代码看。
要点#
- 只跟官方修复版走。
- 缩小自动执行范围。
- 不在站点复现攻击。
OpenCode 安全漏洞（如 RCE 风险与 GitHub Issue）排查
排查 OpenCode 相关安全问题，只走官方通道：GitHub Security Advisories、发行说明、以及你已安装版本号。若公告写明某版本受影响，升级到修复版，并轮换可能暴露的 Token。日常降低风险：不要对不可信仓库开自动执行、缩小工具权限、隔离密钥、用最小特权账号。本页只做防御与升级清单，不提供漏洞利用步骤、PoC 或绕过补丁的方法。
- 官方公告 来源
- 升级 + 轮换 动作
- 不含利用细节 本页
Was this helpful?
Thanks for the feedback.