说明控制措施，也明确其边界。

公开网站

本静态网站提供本地资源，并配置了 HTTPS、限制性的内容安全策略（CSP）、MIME 嗅探防护和框架嵌入限制。网站没有登录、文件上传、支付表单或亚马逊 OAuth 回调。

底层产品中的控制措施

• 亚马逊 OAuth 使用随机、会过期的 state，并通过原子操作确保仅使用一次。
• 授权 state 与组织、店铺及发起用户绑定。
• 共享加密服务使用 AES-256-GCM 保护凭证值。
• 店铺操作包含组织与店铺访问检查。

以上为代码层面的观察，不表示每个数据集均已加密，也不表示每个接口都已完成租户隔离审查。

上线要求

ERP 公开接入前，运营方必须确认实际的数据处理服务商清单、存储区域、访问策略、保留与删除流程、备份安排及事件响应职责。Large Launcher 不宣称获得 SOC 2、ISO 27001、PCI 认证或独立安全审计。

报告问题

请发送邮件至 feedback@largelauncher.com ，提供简要说明与复现步骤。请勿包含有效凭证或个人信息。目前尚未公布事件确认或解决时限的服务等级协议（SLA）。