understanding-tauri-ecosystem-security

了解 Tauri 生态系统安全

本技能涵盖 Tauri 的组织安全实践、依赖管理、漏洞报告和全面的安全审计方法。

Tauri 安全理念

Tauri 遵循纵深防御原则，并由人工参与监督。该框架承认，“应用生命周期中的最薄弱环节基本上决定了你的安全性”，并提供了在每个阶段应对威胁的机制。

信任边界

Tauri 区分以下内容：

• Rust 后端代码：可信，拥有完整的系统访问权限
• 前端代码：不可信，在系统 WebView 中运行
• IPC 层：强制实施安全边界的通信桥梁

前端代码只能通过 IPC 层访问系统资源，权限则受应用配置中定义的能力限制。

组织安全实践

构建流水线安全

Tauri 组织使用高度自动化的 GitHub Actions 工作流，并要求在部署前进行人工审查和批准。

主要实践：

• 签名提交：核心代码库要求提交经过签名，以降低身份冒用风险
• 代码审查：每个拉取请求都需要至少一位维护者批准
• 安全工作流：默认安全检查会针对所有代码变更运行

发布流程

工作组通过以下步骤管理发布：

1. 审查代码变更，并按范围对 PR 分类
2. 保持依赖项为最新版本
3. 在次要版本和主要版本发布前，对安全相关 PR 进行内部安全审计
4. 在开发分支上标记发布版本，以触发：
   • 核心功能验证
   • 测试执行
   • 依赖项安全审计
   • 变更日志生成
   • 构建产物创建
5. 在发布前审查并编辑发布说明

依赖项安全

审计依赖项

使用自动化工具识别存在漏洞的软件包：

# Rust dependencies
cargo audit

# Node.js dependencies
npm audit

高级供应链工具

考虑使用新兴工具进行更深入的供应链分析：

# Verify dependencies against trusted sources
cargo vet

# Community-driven code reviews
cargo crev

固定依赖项版本

对于关键依赖项，固定到特定的 git 哈希修订版本，而不是使用浮动版本：

# Cargo.toml - pinned dependency
[dependencies]
critical-lib = { git = "https://github.com/org/repo", rev = "abc123def456" }

保持依赖项为最新版本

定期更新 Tauri、编译器及相关工具：

# Update Rust toolchain
rustup update

# Update Tauri CLI
cargo install tauri-cli --locked

# Check for outdated dependencies
cargo outdated

应用生命周期安全

上游威胁

评估第三方库的以下方面：

• 维护者是否值得信任
• 维护状态和更新频率
• 已知漏洞
• 代码质量和审查实践

开发威胁

开发服务器风险：

默认开发服务器缺少加密和身份验证，会将前端资源暴露给本地网络。仅在可信网络中进行开发，或在不可信环境中实施双向 TLS（mTLS）。

设备加固实践：

• 日常编码时避免使用管理员账户
• 切勿在开发设备上存储生产环境密钥
• 防止密钥进入版本控制系统
• 使用硬件安全令牌
• 尽量减少已安装的应用
• 确保系统始终安装所有补丁

源代码控制安全：

• 为代码库实施适当的访问控制
• 要求所有贡献者对提交进行签名

构建时威胁

CI/CD 基础设施：

使用信誉良好的提供商，或在受控硬件上托管系统。在工作流中明确固定操作版本：

# Good - pinned to specific version
- uses: actions/[email protected]

# Bad - floating tag
- uses: actions/checkout@latest

可复现构建：

当前的挑战：Rust 和许多前端打包工具默认情况下无法可靠地产生可复现构建。在可复现性工具得到改进之前，应高度信任 CI/CD 系统。

分发威胁

控制清单服务器、构建系统和二进制文件托管至关重要。可考虑使用可信的第三方解决方案分发二进制文件。

运行时威胁

Tauri 假定 WebView 不安全，并通过以下机制提供保护：

• 内容安全策略（CSP）
• 能力系统
• 运行时权限验证

内容安全策略

CSP 可缓解跨站脚本（XSS）攻击。Tauri 会自动为捆绑资源处理加密保护。

CSP 配置

{
  "app": {
    "security": {
      "csp": {
        "default-src": "'self' customprotocol: asset:",
        "connect-src": "ipc: http://ipc.localhost",
        "font-src": ["https://fonts.gstatic.com"],
        "img-src": "'self' asset: http://asset.localhost blob: data:",
        "style-src": "'unsafe-inline' 'self' https://fonts.googleapis.com"
      }
    }
  }
}

CSP 最佳实践

• 尽可能制定严格的策略
• 仅将可信的主机列入白名单，最好是自己拥有的主机
• 避免从 CDN 加载远程脚本（这会引入攻击向量）
• 对于 WebAssembly 前端，在 script-src 中加入 'wasm-unsafe-eval'

权限与能力

权限结构

权限用于描述控制前端命令访问的明确特权：

# src-tauri/permissions/my-permission.toml
[[permission]]
identifier = "my-identifier"
description = "Describes the impact and scope"
commands.allow = ["read_file"]

[[scope.allow]]
my-scope = "$HOME/*"

[[scope.deny]]
my-scope = "$HOME/secret"

能力配置

能力向特定窗口或 WebView 授予权限：

{
  "identifier": "main-window-capability",
  "description": "Capability for the main window",
  "windows": ["main"],
  "permissions": [
    "core:default",
    "fs:read-files",
    "fs:scope-home"
  ]
}

安全边界

能力可防范：

• 尽量降低前端遭到入侵后的影响
• 意外暴露系统数据
• 从前端到后端的权限提升

能力无法防范：

• 恶意 Rust 代码
• 过于宽松的作用域
• WebView 零日漏洞
• 供应链攻击

命令作用域

作用域通过允许和拒绝规则提供细粒度控制（拒绝规则始终优先于允许规则）：

# Allow recursive directory access
[[scope.allow]]
path = "$APPLOCALDATA/**"

# Deny sensitive folders
[[scope.deny]]
path = "$APPLOCALDATA/EBWebView"

命令开发者必须通过谨慎验证，确保无法绕过任何作用域。

运行时权限控制

运行时权限控制负责在运行时实施安全措施：

1. 拦截来自 WebView 的 IPC 请求
2. 验证来源授权
3. 确认是否包含相应能力
4. 应用特定于命令的作用域
5. 允许或拒绝执行

这种多层验证可构建纵深防御，抵御权限提升。

漏洞报告

如何报告

请通过以下方式私下报告漏洞：

• 首选：GitHub 私密漏洞披露功能
• 替代方式：发送邮件至 [email protected]

请勿采取的做法

请勿通过以下渠道披露漏洞：

• Pull request
• GitHub issue
• Discord
• 论坛帖子

披露流程

Tauri 团队承诺：

• 及时评估报告
• 在调查期间严格保密
• 遵循协调公开披露的 90 天标准
• 可选择公开致谢报告者

支持的版本

仅 Tauri 1.0 以上版本获得安全支持。更早的版本不会获得安全更新。

安全审计清单

发布前审计

## Dependency Audit
- [ ] Run `cargo audit` - no critical vulnerabilities
- [ ] Run `npm audit` - no critical vulnerabilities
- [ ] Review new dependencies for trustworthiness
- [ ] Check dependency update status

## Configuration Audit
- [ ] CSP configured and restrictive
- [ ] Capabilities follow least-privilege principle
- [ ] Scopes properly deny sensitive paths
- [ ] No overly permissive glob patterns

## Code Audit
- [ ] IPC commands validate all inputs
- [ ] No scope bypass vulnerabilities
- [ ] Secrets not hardcoded or logged
- [ ] Error messages do not leak sensitive info

## Build Audit
- [ ] CI/CD actions pinned to specific versions
- [ ] Build artifacts signed
- [ ] Distribution channels secured

定期安全审查

## Upstream Review
- [ ] Tauri updated to latest stable
- [ ] Rust toolchain updated
- [ ] Frontend dependencies updated
- [ ] Known CVEs addressed

## Access Control Review
- [ ] Repository access appropriate
- [ ] Commit signing enforced
- [ ] CI/CD secrets rotated
- [ ] Development machine security verified

## Runtime Review
- [ ] WebView security patches applied (OS updates)
- [ ] Capability configuration still appropriate
- [ ] No deprecated permissions in use

已知安全公告模式

根据历史安全公告，请留意以下问题：

1. iFrame 绕过漏洞：来源检查可能被规避
2. 文件系统作用域问题：Glob 模式可能过于宽松
3. 符号链接绕过：文件操作可能会意外跟随符号链接
4. 开放重定向风险：外部网站可能访问 IPC
5. 点文件处理：隐藏文件可能绕过作用域限制

安全资源

官方渠道

• Tauri 安全文档：https://v2.tauri.app/security/
• GitHub 安全公告：https://github.com/tauri-apps/tauri/security/advisories
• 安全联系邮箱：[email protected]

推荐工具

工具	用途
cargo audit	扫描 Rust 漏洞
npm audit	扫描 Node.js 漏洞
cargo vet	验证依赖项
cargo crev	社区代码审查
cargo outdated	检查依赖项是否为最新版本

总结

Tauri 生态系统的安全需要贯穿整个应用生命周期加以重视：

1. 上游：审计并固定依赖项版本
2. 开发：加固机器，保护源代码管理
3. 构建：保护 CI/CD，固定操作版本
4. 分发：管控托管基础设施
5. 运行时：配置 CSP、能力和作用域

该框架提供了强大的安全原语，但其有效性取决于正确配置和持续警惕。定期审计、及时修补漏洞并遵循最小权限原则，是确保 Tauri 应用安全的关键。