Bảo mật & PII

Báo cáo lỗ hổng qua GitHub private vulnerability reporting (Security advisories). Không đưa secret hoặc payload khách vào issue công khai: github.com/Dondo0936/langben/security/advisories.

MUST-CHANGE trước khi mở cổng công khai

Đổi các giá trị sau trước khi mở :3000 / :43173 / :9090. Default demo/compose chỉ dùng trên loopback.

• NEXTAUTH_SECRET
• ENCRYPTION_KEY
• SALT
• Mật khẩu Langfuse
• Bí mật webhook

Bản này

• Khóa ingest và OTLP so khớp SHA-256 (timing-safe). Khóa Anthropic của Playground chỉ ở server. Không có bí mật NEXT_PUBLIC_.
• Bí mật webhook kênh được lưu để xác thực chữ ký; API console không trả secret. Payload lưu như nhận được. Chưa redact PII, chưa xóa audio Viettel. Hãy giảm PII phía bot trước khi gửi.
• Zalo OA bắt MAC; hook không chữ ký hoặc sai chữ ký trả 401.
• Production bắt buộc VET_SESSION_SECRET. Đặt biến này. Đừng để placeholder.