了解平台如何保護使用者資料與確保工具安全
平台採用唯讀代理架構，將使用者的查詢請求轉發至台灣政府公開資料庫，回傳原始結果。整個過程中，平台不儲存查詢內容，也不修改政府的原始資料。
平台採用唯讀代理（Read-only Proxy）架構。所有 API 請求經由平台轉發至政府端點，回應直接回傳給使用者。平台不持久化查詢內容或回應資料，僅記錄匿名使用量統計。所有通訊透過 HTTPS/TLS 1.3 加密。
平台提供以下安全防護措施，確保服務安全可靠。
使用者透過 GitHub 或 Google 帳號登入，密碼由身分提供者管理，平台不接觸任何憑證。 僅授權基本帳號資訊，無需額外建立密碼。
OAuth 2.0 + PKCE 授權碼流程，防止授權碼被攔截。Session 以 CSRF Token 保護，Cookie 設定 Secure + HttpOnly + SameSite=Lax，防止跨站腳本（XSS）竊取。
API 金鑰經單向雜湊加密後儲存，即使資料庫遭不當存取， 亦無法還原原始金鑰。搭配分級速率限制機制， 防止大量濫用。
API Key 以 SHA-256 雜湊儲存（不可逆）。Rate Limiting 分級：匿名 30 req/min、認證用戶 50-2000 req/min（依方案）。所有通訊強制 HTTPS 加密。
平台部署於 Cloudflare 全球邊緣網路，具備企業級防火牆與 DDoS 防護。 採用無伺服器（Serverless）架構，消除傳統伺服器的 SSH 等攻擊面。
Cloudflare Workers 無伺服器架構（Serverless），無 SSH 攻擊面。Cloudflare WAF（Web Application Firewall）+ 自動 DDoS 防護。基礎設施通過 ISO 27001、SOC 2 Type II 國際安全認證。
每個 MCP 工具都有自己的安全審查報告， 包含四個維度：程式碼透明度、資料敏感度、權限範圍、社群信任。另有第三方驗證標章（OSV + OpenSSF Scorecard）。 透過顏色標示即可快速判斷風險等級。
綠色 = 高度信任 · 藍色 = 良好 · 橘色 = 建議審閱 · 紅色 = 風險較高
系統即時監控 API 速率突增、跨地域存取異常、連續認證失敗等模式， 觸發時自動攔截並記錄，同時通知管理員處置。
即時監控三種異常模式：API Key 速率突增（Rate Spike）、Session 地理跳躍（Geo Anomaly）、認證失敗連續累積（Brute Force Detection）。觸發時自動記錄 + 管理員告警。
平台遵守台灣個人資料保護法，使用者資料受法律保障。 如發生資料安全事件，承諾 72 小時內依法通報， 並啟動完整的事件回應流程。
台灣個人資料保護法（PDPA）合規。APEC CBPR（亞太經合組織跨境隱私規則）保障跨境資料。72 小時資料外洩通報承諾。完整事件回應 SOP（三級分類 L1/L2/L3，含容器化、通知、復原流程）。
每個工具卡片標示 A、B、C、D 信任等級，由系統根據四個維度自動計算，開發者無法自行修改。
程式碼公開透明、僅存取公開資料、唯讀操作、具大量使用者驗證。安全性最高。
多數維度表現良好。可能需要帳號資料或具有限寫入權限。適合日常使用。
可能存取個人資料或需要較大操作權限。建議先審閱安全聲明與標章內容。
程式碼未公開、可能接觸敏感資料、或需要較高權限。建議確認來源可信度後再使用。
系統依四個維度各評定 1～4 分，加總後得出總分（滿分 16 分）。各維度評分標準如下：
| 面向 | 4 分（最好） | 3 分 | 2 分 | 1 分（最低） |
|---|---|---|---|---|
| 程式碼透明度 程式碼是否可公開檢閱 |
開源且 通過審計 |
開源 | 已聲明 但未公開 |
未聲明 |
| 資料敏感度 存取資料的敏感程度 |
公開資料 （如天氣） |
帳號資料 （如 API Key） |
個人資料 （如姓名地址） |
敏感資料 （如身分證） |
| 權限範圍 可執行的操作範圍 |
唯讀 | 有限寫入 | 完整讀寫 與刪除 |
系統層級 操作 |
| 社群信任 使用者數量與社群評價 |
萬人使用 評價良好 |
千人使用 廣受採用 |
百人使用 持續成長 |
新上架 尚未累積 |
四個面向各 1～4 分相加，總分 4～16 分。等級由系統自動計算，開發者無法自行修改。
所有資料均來自台灣政府公開資料庫。 每次 API 回應皆於標頭（header）標示來源機關，可供查證。 以下為目前平台串接的政府資料來源：
如在使用過程中發現任何安全問題，歡迎透過以下方式回報：
感謝協助維護平台安全。