Skip to content

Security: Tiancheng-Xu/babysteps

Security

docs/security.md

安全与隐私边界

公开数据

Sepolia 是公开测试链。钱包地址、积分数量、交易时间、赠送对象和公开便签的历史内容 都可以被任何人长期查看。clearNote 只清空当前合约状态,不能删除历史区块中的文字。

不应上链的数据

不要输入或编码儿童姓名、照片、精确位置、健康与疫苗信息、联系方式或家庭日程。 活动交易只记录钱包地址、活动枚举、日期编号和积分,不能证明现实活动确实发生。

凭据处理

  • 只使用不持有真实资产的专用测试钱包。
  • 私钥、RPC URL 和 Etherscan API Key 只保存在本机 Hardhat keystore。
  • 不把凭据写入命令参数、.env、聊天、截图、日志或 Git。
  • web/.env.local 只允许保存公开的合约地址,并已被 Git 忽略。

产品边界

成长星没有价格、兑换、提现或投资属性,不是 ERC-20,也不代表儿童表现评级。 测试链交易仍不可撤销;赠送前必须逐字核对网络、收款地址和数量。

There aren't any published security advisories