Fail-Closed 是 Zenith 的第一性原理。这里沉淀了 8 轮安全审计的闭环成果与完整的漏洞披露流程。
DCID / Token / 密码 / 模式匹配统一使用 ct_compare，配合 core::hint::black_box 防时序侧信道。
探测 / 构建 / 解析失败取安全默认值，永不 panic；无证书绝不回退明文。
CertGeneration 使用 Zeroizing<PrivateKeyDer>，作用域结束自动擦除私钥材料。
所有 unsafe 严格封装在 zenith-linux / zenith-ebpf 内部，上层零 unsafe，全 workspace deny(unsafe_code)。
allow_origin 默认为空，不发送任何 CORS 头，需显式 with_origin 配置。
未配置 token 返回 404，配置时校验 Bearer 恒定时间比较。
9 项代码缺陷 + 4 项文档修正，含字段名、状态回滚、TOCTOU、代际溢出等。
31 个任务约 100 个子任务：2 CRITICAL + 4 HIGH + 9 P1 + 9 P2 + 8 LOW。含 AuthMiddleware、QUIC 流表、H3 响应上限、TCP 连接表。
4 High + 21 Medium + 18 Low：BPF redirect flags、RLIMIT_MEMLOCK、指纹评分白/黑名单、QoS 继承。
6 P0 + 12 P1 + 20 P2：ct_compare 全函数 black_box、/metrics Bearer、QPACK 总字节上限、ForwardEngine 三态。
QUIC 保留位校验、BPF 分片逃逸、WAF NULL 字节 fail-open 修复、runtime 防超卖。
246 项审计可落地项：恒定时间比较、FramePool/Ledger 一致性、HTTP/1-2-3 解析、0-RTT 重放防护、TCP 状态机加固。
感谢安全研究者的贡献。我们遵循负责任披露流程，请在公开讨论前先与我们联系。
我们将在 5 个工作日内确认，30 天内给出修复计划。严重漏洞将优先处理并发布安全版本。
确认的有效漏洞将致谢报告者，并（可选）在 SPONSORS.md 中公开署名。
安全支持覆盖当前稳定版本与最近一个主版本。历史版本请升级后报告。