Máy quét đọc mã nguồn, nhưng sự cố xảy ra ở thứ đã triển khai. Năm mục dưới đây là những lỗi thực tế phổ biến nhất ở app tạo bằng Lovable, Bolt hay v0 — kèm cách tự kiểm tra và cách chúng tôi xác minh từ bên ngoài.
Quét ~1.400 app vibe-coding đang chạy phát hiện 400+ bí mật bị lộ và 175 trường hợp lộ PII (Escape.tech, 2025). 45% mã do AI sinh ra chứa lỗi OWASP Top 10 (Veracode, 2025).
Trong devtools trình duyệt → Network/Sources, tìm chuỗi như sk-, AKIA, Bearer. Khóa ở frontend ai cũng thấy; hãy chuyển sang máy chủ (edge function/backend). — Chúng tôi dò vân tay khóa trong bundle thực sự được phục vụ.
Nếu dùng Supabase hay tương tự, kiểm tra Row Level Security (RLS) đã bật và khóa ẩn danh không đọc được toàn bộ bảng. Nhiều app vibe-coding phát hành mà không có RLS. — Chúng tôi kiểm tra đường dẫn nhạy cảm và bề mặt công khai từ bên ngoài, chỉ đọc.
Mở các đường dẫn như /api/*, /admin, /.env, /.git khi đã đăng xuất. Trả về 200 là có vấn đề. — Chúng tôi dò các đường dẫn phổ biến này từ bên ngoài và đánh dấu thứ không đọc được là “chưa xác định”.
Xác nhận HTTPS được bắt buộc, chứng chỉ hợp lệ, và có các header như CSP, HSTS, X-Content-Type-Options. Thiếu chúng app vẫn chạy nhưng bề mặt tấn công lớn hơn. — Biên nhận của chúng tôi liệt kê trạng thái header/TLS.
Dù đã làm hết những điều trên, tự quét toàn bộ thực tế triển khai vẫn khó. Chúng tôi kiểm tra từ bên ngoài, dựa trên đồng ý và chỉ đọc, báo kết quả đạt/thất bại/chưa xác định — ghi trung thực cả những gì chưa thấy. Miễn phí.
Kiểm tra web app của tôi — miễn phí →Liên quan: Yêu cầu kiểm tra · llms.txt · Đơn vị vận hành star365 · Đội giao dịch metaquant · Sơ đồ trang