扫描器看的是源代码。可事故偏偏出在已部署的东西上——被打包进浏览器的 API 密钥、外部可下载的数据库连接信息与转储、没有认证的 API。我们看的是部署后的实况，并且把没能确认的项也一并写下来。
来源：Escape.tech — State of Security of Vibe Coded Apps（2025，约 1,400 个应用，2,038 个严重漏洞）· Veracode 2025 GenAI Code Security Report（100+ LLM）· 行业数据，并非您应用的实测值
在您证明自己掌控该域名之前，我们什么都不扫描。不是勾选“我同意”，而是只有您才能完成的证明。别人无法填上您的域名来发起检查。
SSH 内部检查仅在您另行明确请求并授予访问权限时才进行。结果只交给您，绝不对外发布。发现的敏感值只保留指纹，不保存原文。
HOW IT WORKS
第二步——同意证明——正是让本服务安全的关键。
输入要检查的 Web 应用地址，我们会签发一个只绑定您本次请求的唯一令牌。
把令牌放到 /.well-known/star365-audit-consent.txt，或加为 DNS TXT 记录。能把令牌放在那里，本身就证明了您是该域名的主人。
仅在核实令牌后才检查。通过、失败（注意/危险），以及无法确认的项，都写进不可伪造的凭证。
TRY IT
真正的检查在我们的服务器上运行，但请求与令牌流程您可以在这里直接体验。
WHAT WE CHECK
本列表由检查引擎声明的项目直接生成，并非手工撰写 — 引擎变动，本表随之变动。每项只有三种判定：通过、失败、无法确认。
站点是否响应。读不到就不判定其余项。
reachable发送到浏览器的 HTML/JS 中是否夹带 API 密钥等机密。
client_secrets公开的源映射（.map 或内联 data-URI）是否让人从打包文件还原出原始源码——即便包里没有密钥，定价逻辑、内部流程甚至注释也会暴露。这正是外部逆向工程的目标。
source_maps.env、.git 等敏感路径是否可从外部访问。
exposed_paths是否设置了 CSP、HSTS 等四项主要安全响应头。
security_headers不存在的地址是否返回 200 — 机器会把拼错的 URL 当成真实页面。
soft_404HTTPS 站点是否存在缺少 Secure 的 Cookie — 可能通过明文请求泄露。
cookie_flagsrobots.txt 是否对所有爬虫屏蔽了这个公开页面。没有该文件属于正常。
robots_sanity不执行 JavaScript 时收到的 HTML 是否已有正文 — 爬虫与链接预览不跑 JS。
server_rendered_body用真实浏览器打开，查看控制台是否报错。
runtime_errors脚本、图片等资源是否加载失败。
broken_assetshttps 页面是否加载 http 资源。
mixed_content页面是否真的渲染出内容 — 返回 200 也可能是白屏。
renders_content窄屏下是否出现横向滚动。
mobile_overflow跟踪页面内部链接，确认是否真的能打开。
internal_links在实际渲染的页面上测量字号与对比度 — 最小 12px，WCAG AA（正文 4.5:1、大字 3:1）。无法确定背景时不作判定。
readability公开页面是否调用 localhost 或内网 IP — 开发用 API 地址留在线上，访客那边都会失败。
private_network_calls常见 API 路径是否无需登录就返回用户信息（邮箱、电话等）列表 — 仅用 GET 检查，不保存任何值。
open_api_data如果前端包里带有 Supabase 地址和 anon 密钥，则用匿名密钥对包中已调用的每张表各发一次 GET，检查 RLS 是否开启。不读取行的值，只看列名。
supabase_rls检查 Server、X-Powered-By 响应头或 generator 标签是否暴露了 nginx/1.24.0 这样的版本号。版本本身不是缺陷，但会给攻击者提供线索。我们不判断它是否存在漏洞。
version_disclosureSAMPLE REPORT
一份真实检查示例。不只展示通过项——还写明没能查看的项和需要修复的项。
WHY US
Snyk、Semgrep 的免费版很出色，但它们看的是源代码。
FAQ
为了让人和 AI 回答引擎读到相同的答案，我们把常见问题原样放在这里。
不是源代码，而是部署后的实况。被打包进浏览器的 API 密钥、泄露的数据库连接信息、无认证的 API——我们还会用真实浏览器打开，查看控制台报错、失效资源、移动端横向溢出和失效链接。也就是从外部核实部署之后才会发生的事故。
不是靠勾选，而是靠证明。我们签发一个令牌，只有当您把它放到域名的指定路径或作为 DNS TXT 记录、证明所有权后，检查才会开始。扫描前我们会再次核实。
外部检查只使用只读的 GET 请求。不做注入、不做暴力破解、不制造过载。结果凭证以防篡改的哈希链保存。
判定为通过 / 失败 / 无法确认三种之一，失败项附带严重度（注意/危险）。我们绝不把读不到的项算作通过或归零，连无法确认的项也如实写下。
外部检查免费。如愿意，可自愿捐赠（非托管：USDT、USDC、BTC、ETH、BNB）。SSH 内部检查与持续监测按范围经沟通后进行。
相关：申请检查 · llms.txt · 运营方 star365 · 交易舰队 metaquant · 网站地图
如果这次检查有帮助
外部检查免费。若您需要更深入的检查，或觉得有帮助，请留个信号——正是它让本服务得以延续。
SUPPORT
外部检查免费。若有帮助，自愿捐赠让本服务得以延续（可选）。非托管——直接进钱包。
🔴 只能通过所示网络发送——发错链将永久丢失。低于最低金额同样丢失。
捐款进入 star365 交易所账户 · 支持 USDT、USDC、BTC、ETH、BNB