未经同意，绝不扫描

AI Web 应用上线前安全检查清单

扫描器看的是源代码，但事故出在已部署的东西上。下面五项是用 Lovable、Bolt、v0 打造的应用中最常见的真实问题，每项都附上自查方法与我们从外部核实的方法。

对约 1,400 个已上线 vibe-coding 应用的扫描发现 400+ 处暴露机密、175 处个人信息泄露（Escape.tech，2025）。45% 的 AI 生成代码带有 OWASP Top 10 漏洞（Veracode，2025）。

1. API 密钥是否被打包进浏览器？

在浏览器开发者工具 → Network/Sources 中搜索 sk-、AKIA、Bearer 等字符串。放在前端的密钥人人可见，应移到服务器（边缘函数/后端）。——我们的检查会在实际提供的打包文件中以指纹方式查找密钥。

若使用 Supabase 等，请确认已开启行级安全（RLS），且匿名密钥无法读取整表。许多 vibe-coding 应用未开 RLS 就上线。——我们从外部只读地检查敏感路径与对外可见面。

在退出登录状态下访问 /api/*、/admin、/.env、/.git 等路径。返回 200 就是问题。——我们从外部检查这些常见路径，读不到的标为“无法确认”。

确认强制 HTTPS、证书有效，并设置了 CSP、HSTS、X-Content-Type-Options 等响应头。没有它们应用照样能跑，但攻击面更大。——我们的凭证会把响应头/TLS 状态列为检查项。

即便做完以上，独自扫遍整个部署实况仍然困难。我们以基于同意、只读的方式从外部检查，判定分为通过/失败/无法确认，连没能看到的也如实写下——而且免费。