这一页只放可以复核的东西。每一项都给出取证方式，读者可以自己跑一遍；跑不出来，就说明这一项不该被相信。
这是自认证，不是第三方审计。Best Practices 徽章证明的是工程卫生：文档、测试、构建、发布流程、漏洞响应、治理。它不证明密码学实现没有侧信道，也不等于商用密码产品资质或密评报告。
复核：curl -s https://www.bestpractices.dev/projects/13695.json，看 badge_level 与 badge_percentage_1。
| 仓库 | 分数 | 扫描时刻（UTC） | Scorecard 版本 | 被测 commit |
|---|---|---|---|---|
| fibemate（主仓） | 8.1 / 10 | 2026-11-09T18:37:22Z （UTC+8 11-10 02:37） | v5.6.0 | 2ec3d0e |
| fibemate-tauri（桌面端） | 7.5 / 10 | 2026-11-09T04:57:22Z （UTC+8 11-09 12:57） | v5.5.0 | fdf571a |
| fibemate-tools（工具线） | 6.9 / 10 | 2026-11-09T13:17:53Z （UTC+8 11-09 21:17） | v5.3.0 | ccf8c82 |
复核：curl -s https://api.securityscorecards.dev/projects/github.com/Lennonhaha/fibemate，看 score、date 与 scorecard.version。
三个仓各自每周独立排期扫描，所以扫描时刻不同。这里写每个仓的真实时刻，而不是统一成一个“看起来更新”的日期——分数与日期必须能对上，否则这个数字没有意义。失分项：主仓 Code-Review 0（0/28）、Branch-Protection 4；桌面端 Maintained 0、Code-Review 0；工具仓仓库年龄不足 90 天，Maintained 记 0。
| 指标 | 数值 | 如何复核 |
|---|---|---|
| 语句覆盖率 | 80.53%（6,924 / 8,597，CI 2026-11-10 实测；本地 81.27% = 6,987 / 8,597） | npm run test:coverage |
| 分支覆盖率 | 70.4% | 同上 |
| CI 门禁 | lines ≥ 80%，statements ≥ 80% | .github/workflows/coverage.yml |
| 测试套件 | 5 组（单元、HTTP 集成、密码学边界、服务端库边界、回归守卫） | scripts/coverage.cjs |
| 历史缺陷回归覆盖 | 57.5%（23 / 40） | docs/REGRESSION-TESTS.md |
统计口径：只算本仓代码，排除 node_modules 与 www/crypto 下 vendored 的 WASM；不使用 /* c8 ignore */ 抬高数字。
| 项目 | 状态 | 说明 |
|---|---|---|
| Dependabot 告警 | 0 条开启 | 复核：gh api repos/Lennonhaha/fibemate/dependabot/alerts?state=open --jq length |
| 依赖清单 | SBOM 漂移 0 | node scripts/check-sbom-drift.cjs |
| 发布签名 | cosign keyless | 无长期私钥；签名绑定工作流身份 |
| GitHub Actions | 全部按 commit SHA 固定 | 99 条 uses:，0 条浮动 |
| 文档 | 回答什么问题 |
|---|---|
| ASSURANCE_CASE.md | 威胁模型是什么、信任边界在哪、哪些弱点有对策、还缺什么（G-1~G-9） |
| CONTINUITY.md | 维护者失能后，谁在多长时间内、用什么凭据恢复项目 |
| INPUT-VALIDATION.md | 每个端点接受什么、拒绝什么、由哪个测试断言 |
| REGRESSION-TESTS.md | 近半年修过的缺陷，哪些有回归测试，没有的为什么没有 |
| SECURITY.md | 怎么报漏洞、多久响应、如何披露与致谢 |
这些仍然是真的：
· 没有第三方安全审计。所有"已验证"都指功能、KAT、测试向量与软件 TVLA，不含独立审计结论。
· 形式化验证分两条线：TLA+ 模型在树内且由 CI 门控（7 条不变式 + 1 条时序性质 L_Reach、26,115 distinct / 133,891 generated 个状态、0 违规，2026-11-14 实测）；Isabelle/VWZ 属研究线，另有仓库，不声称构成生产代码的精化证明。
· 维护者一人（bus factor 1），正在寻找更多维护者。
· 输入校验逐 handler 手写，没有统一 schema 层。
· TLS 在 nginx 终止，应用层不做证书校验（这是部署属性，已在保证案例的 B2 声明）。
提供：PQC 迁移辅助、CBOM 盘点、供应链门禁、形式化验证工程能力、可复现的测试与证据链。
不提供：商用密码产品资质、商用密码应用安全性评估（密评）报告、第三方审计结论。
本项目为集成商与测评机构提供工具与证据，不替代任何法定第三方检测。