浏览器与传输控制
生产包启用了 HTTPS 传输强化、防点击劫持、内容类型保护和限制性权限策略，并通过 Content Security Policy 将主动资源与表单提交限制在 E2M 控制的来源以及为字体和可选 PDF 导出明确列入允许名单的提供商。当前静态架构仍需要允许部分内联脚本和样式；这一限制被明确记录，而不是隐藏。
Passport 的本地优先设计
Passport 规划数据默认保留在浏览器中。分析事件缓冲区仅限会话、容量受限、无 Cookie 且没有网络传输。只有在明确提交表单后才会传输执行背景，trust-governance 会从该交接中移除获客与访问元数据。
第三方暴露面
页面浏览时不会加载第三方分析 SDK。Passport 的可选 PDF 导出仅在用户明确请求下载研究报告后，才会从 cdnjs 加载 html2canvas 和 jsPDF；如果这些库不可用，则回退到浏览器打印。其他外部服务也仅由用户主动操作触发，而不是通过静默追踪器或嵌入式 iframe。
表单与数据流控制
表单使用第一方提交端点，并在适用位置使用 honeypot 字段。Passport 执行交接采用明确的数据最小化策略，发布版本同时提供机器可读的数据流清单。
报告潜在漏洞
请将简明报告发送至 contact@e2massociates.com，并包含受影响 URL、复现步骤、影响和相关证据。请勿访问或修改不属于您的数据、降低服务可用性或使用社会工程。E2M 当前没有公开漏洞赏金计划。
范围与限制
任何网站都无法保证绝对安全。这些控制描述当前发布版本，并会随产品变化持续复核。标准披露端点为 /.well-known/security.txt。
最后更新：2026 年 9 月 25 日