检查目录
我们执行的全部检查,按使用条件分组。无需所有者身份的检查在每次扫描中运行,适用于任何公开网站。所有者检查会发送探测请求,因此仅在您验证域名后运行。付费检查是我们正在开发的高级项目。
我们执行的全部检查,按使用条件分组。无需所有者身份的检查在每次扫描中运行,适用于任何公开网站。所有者检查会发送探测请求,因此仅在您验证域名后运行。付费检查是我们正在开发的高级项目。
6 个模块,共 22 项检查
| 严重程度 | 检查项 | 模块 | ID | 无需所有者身份(18) | 仅限网站所有者(4) | 付费(5) |
|---|---|---|---|---|---|---|
| 严重 | 环境变量文件（.env）可被公开读取 任何人都能下载这些变量——通常包括数据库 URL 和 API 密钥。机器人会持续扫描 | 暴露的文件 | EXP-001 | 无需所有者身份 | · | · |
| 严重 | Git 仓库被暴露
| 暴露的文件 | EXP-002 | 无需所有者身份 | · | · |
| 严重 | 客户端代码中暴露了密钥 在发送给每位访客的 JavaScript 中发现了私密 API 密钥。任何人都能复制并使用你的账户。 | 客户端密钥 | SEC-001 | 无需所有者身份 | · | · |
| 严重 | 暴露了 Supabase service_role 密钥 service_role 密钥会完全绕过行级安全（RLS）。任何持有它的人都能读写所有数据表。 | 客户端密钥 | SEC-002 | 无需所有者身份 | · | · |
| 严重 | TLS 证书已过期或即将过期 证书过期后，浏览器会显示整页安全警告，大多数访客会直接离开。 | 传输与 TLS | TLS-002 | 无需所有者身份 | · | · |
| 高危 | CORS 接受任意来源 服务器把任意 Origin 原样返回到 Access-Control-Allow-Origin。如果同时允许凭据，任何网站都能读取你用户的数据。 | HTTP 响应头 | COR-001 | 无需所有者身份 | · | · |
| 高危 | 未强制使用 HTTPS 网站未通过 HTTPS 提供，或普通 HTTP 未重定向到 HTTPS。在公共 Wi‑Fi 上流量可能被窃听或篡改。 | 传输与 TLS | TLS-001 | 无需所有者身份 | · | · |
| 高危 | TLS 证书不受信任 浏览器拒绝了该证书（主机名不匹配、自签名或证书链不完整），访客会看到安全警告。 | 传输与 TLS | TLS-003 | 无需所有者身份 | · | · |
| 中危 | Cookie 缺少安全属性 缺少 Secure、HttpOnly 或 SameSite 的 Cookie 可能通过 HTTP 被窃取、被注入脚本读取，或随跨站请求一起发送。 | HTTP 响应头 | CK-001 | 无需所有者身份 | · | · |
| 中危 | 缺少 SPF 记录 没有 SPF，收件服务器无法判断哪些服务器可以代表你的域名发信，更容易被冒用。 | DNS 与邮件 | DNS-001 | 无需所有者身份 | · | · |
| 中危 | 缺少 DMARC 或未强制执行 没有强制执行的 DMARC 策略，攻击者可以发送看起来来自你域名的邮件。 | DNS 与邮件 | DNS-002 | 无需所有者身份 | · | · |
| 中危 | 缺少或过弱的 Content-Security-Policy 没有足够强的 CSP，任何被注入的脚本都能完全访问你的页面和用户会话。 | HTTP 响应头 | HDR-001 | 无需所有者身份 | · | · |
| 中危 | 缺少点击劫持防护 其他网站可以把你的页面嵌入隐藏框架，诱骗用户点击按钮。 | HTTP 响应头 | HDR-002 | 无需所有者身份 | · | · |
| 中危 | 缺少 HSTS 或有效期过短 没有 Strict-Transport-Security，同一网络中的攻击者可以把连接降级为 HTTP。 | 传输与 TLS | TLS-005 | 无需所有者身份 | · | · |
| 低危 | 没有 CAA 记录 任何证书颁发机构都能为你的域名签发证书。CAA 可以限制为你实际使用的 CA。 | DNS 与邮件 | DNS-004 | 无需所有者身份 | · | · |
| 低危 | 缺少基础安全响应头 X-Content-Type-Options 和 Referrer-Policy 是成本很低的默认配置，可阻止 MIME 嗅探并避免完整 URL 泄露给其他网站。 | HTTP 响应头 | HDR-003 | 无需所有者身份 | · | · |
| 低危 | 暴露了服务器或框架版本 版本信息能帮助攻击者把你的技术栈与已知漏洞对应起来。 | HTTP 响应头 | HDR-004 | 无需所有者身份 | · | · |
| 低危 | Source Map 可被公开访问 可以通过 | 客户端密钥 | SEC-004 | 无需所有者身份 | · | · |
| 严重 | Supabase 数据表无需登录即可读取 使用你网站上的公开 anon 密钥，我们可以读取这些表中的数据。行级安全（RLS）未启用，或存在允许公开读取的策略。 | 后端（Supabase / Firebase） | BAAS-002 | · | 仅限网站所有者 | · |
| 严重 | Firebase 实时数据库可被公开读取 数据库规则允许未认证读取，任何人都能下载数据。 | 后端（Supabase / Firebase） | BAAS-004 | · | 仅限网站所有者 | · |
| 高危 | Supabase 存储桶可被列出 任何拿到公开密钥的人都能列出这些存储桶中的文件，常常导致用户上传内容泄露。 | 后端（Supabase / Firebase） | BAAS-003 | · | 仅限网站所有者 | · |
| 高危 | Firebase Storage 可被公开列出 存储规则允许未认证用户列出文件。 | 后端（Supabase / Firebase） | BAAS-005 | · | 仅限网站所有者 | · |
| 严重 | 漏洞模板全面扫描 运行数千个安全模板,查找配置错误、暴露的管理面板、默认登录凭据和已知 CVE。绝不运行拒绝服务或侵入性模板。 | 高级扫描 | ACT-001 | · | · | 付费即将推出 |
| 严重 | 泄露的密钥是否仍然有效 对客户端代码中发现的密钥,通过一次无害的只读调用(例如"我是谁")判断其是否仍然有效,让您准确知道需要轮换哪些密钥。 | 高级扫描 | SEC-007 | · | · | 付费即将推出 |
| 高危 | 无需认证的 API 端点 读取您的 OpenAPI/Swagger 或 GraphQL schema,找出无需登录即可返回数据的端点。 | 高级扫描 | ACT-003 | · | · | 付费即将推出 |
| 高危 | 登录后扫描与 IDOR 使用您提供的两个测试账号,检查一个用户能否仅通过修改 ID 读取或更改另一个用户的数据。 | 高级扫描 | ACT-004 | · | · | 付费即将推出 |
| 高危 | AI 业务逻辑测试 AI 代理走查注册、结账、优惠券等流程,查找可跳过的步骤、负数金额以及 AI 端点缺少调用限制等问题。 | 高级扫描 | AI-001 | · | · | 付费即将推出 |