部署AI生成的应用前，务必确认的7项安全检查清单
用"氛围编程"(vibe coding)、AI代码生成快速搭建的服务，最容易忽略的7个安全漏洞，以及部署前5分钟完成检查的方法。
AI编程工具能在一天内把想法变成上线的服务。但速度越快，安全性默认就越不安全。 如果你是独立开发者，或者团队里根本没有开发者，情况更是如此。部署前只要确认以下7项，就能挡住大多数常见事故。
1. 硬编码的密钥、密码
请确认API密钥、数据库密码、令牌（token）是否原封不动地写死在代码里。AI很擅长写出"先能跑起来再说"的代码，却经常把密钥直接写进源码。这段代码一旦上传到公开仓库，几分钟内自动化机器人就会收集走密钥。
- 把密钥移到环境变量（
.env）中，并务必把.env加入.gitignore - 如果已经提交过，请立即吊销并重新签发密钥——即使从历史记录中删除，也应视为已经泄露
2. 暴露在客户端的机密信息
在浏览器中运行的代码（前端）里的任何值，任何人都能看到。 绝对不要把管理员专用的密钥放进前端。请确认像NEXT_PUBLIC_这种前缀的环境变量中，没有夹带敏感数据。
3. 数据访问权限（授权）
登录没问题，但你能不能看到别人的数据？ 只需改一下网址中的id就能看到其他用户信息的问题（IDOR），在AI生成的代码中非常常见。务必测试"是否只能看到自己的数据"。
4. 数据库的行级安全性（RLS）
如果你使用BaaS（无代码/后端即服务），请确认每张表的访问规则是否都已启用。有时默认值是"完全公开"。直接确认匿名用户是否能读取整张表，会更稳妥。
5. 存在漏洞的库
项目使用的开源包中，可能混有含已知漏洞（CVE）的版本。只要升级到最新的安全版本，就能消除许多风险。
6. 对输入值的信任
如果把用户输入的值原封不动地放进数据库查询或系统命令中，就会暴露在注入攻击之下。请把"用户输入始终要怀疑"当作基本原则。
7. 部署之后也要持续检查
安全一次不代表永远安全。每次修改代码都可能产生新的漏洞。把检查接入部署流水线，让它在每次推送（push）时自动执行，即使有人忘记，也还有安全网兜底。
以上7项即使没有工具也能确认，但要人工逐一查看数百个文件并不容易。WhiteHat Code只要连接GitHub仓库，就会自动扫描上述项目，并告诉你问题出在哪里、该怎么修复。自动扫描是免费的。