薄弱环节

1存在漏洞的库

Odoo 项目通过 Blipit 模块已经发送的模块列表覆盖：已不再获得安全修复的版本系列，以及仍停留在旧系列上的标准模块。对于其他应用，使用 PUT https://in.blipit.io/api/v1/sdk/packages 发送包列表，请求头 X-Blipit-Key 填写私密密钥，请求体为 {"packages":[{"ecosystem":"npm","name":"lodash","version":"4.17.15"}]}（生态系统：npm, PyPI, RubyGems, Packagist, Go, NuGet, Maven, Pub, crates.io, Hex, SwiftURL；最多 3,000 个）。每次上传都会替换之前的列表。Blipit 会在几分钟内并在此后每天将每个版本与 OSV 数据库比对，并显示安全公告、严重程度以及修复该问题的版本。

2暴露检查

Blipit 每天对你在可用性中监控的每个域名检查一次（HTTP、SSL 和域名监控器，每个工作区最多 20 个）：TLS 证书到期（少于 14 天时警告）以及是否仍接受 TLS 1.0 或 1.1；六个安全响应头的评分（HSTS, Content-Security-Policy、防框架嵌入、X-Content-Type-Options, Referrer-Policy, Permissions-Policy）；能否下载 /.env, /.git/HEAD, /.DS_Store, /server-status, /phpinfo.php 或 /wp-config.php.bak（返回 200 且内容与该文件相符，而不是任意页面）；首页自身 JavaScript 包中的私密 API 密钥；以及主域名的 SPF 和 DMARC。请求使用 GET、较短的超时并在请求之间暂停，以 Blipit-SecurityCheck 标识自己，绝不跟随跳转到其他主机的重定向，也绝不访问私有地址。

3评分与优先修复

每个项目从 100 分起算。未解决的漏洞扣 25 分（严重）、15 分（高）、5 分（中或未评级）或 2 分（低），总计最多 60 分。每项未通过的检查最多扣 30 分（公开的 .env、.git 或配置备份，或泄露的密钥），警告扣分较少。最近 7 天内未解决的安全告警每条扣 3 分，最多 15 分。“优先修复”列出扣分最多的五项。当某个域名是项目 Odoo 实例的主机，或工作区只有一个项目时，该域名计入该项目。

4告警与每周邮件

新的高危或严重漏洞、新暴露的文件或泄露的密钥，会通过你的告警渠道发出一次安全告警。工作区所有者还可以收到每周安全邮件，内含评分和优先修复列表；可在设置中关闭。

须知

• 为什么只检查受监控的域名：将域名添加到可用性，是工作区证明该域名属于自己的方式。Blipit 绝不检查工作区中无人监控的域名。
• 泄露的密钥以遮盖形式显示；Blipit 绝不存储完整密钥。
• OSV 不收录 Odoo 核心的安全公告，因此 Odoo 核心按其支持状态进行评判。