安全审计
您的应用能正常运行，但它安全吗？
您会知道哪里有风险、先修复什么，以及要花多少钱。
借助 Claude、ChatGPT、Lovable 或 WordPress，人人都能搭建应用或网站。这些工具确保它能用，但对安全考虑得较少。
同样的漏洞经常出现：页面里能看到的 API 密钥，被别人拿去用，费用却由您承担；任何人都能读取的数据库。用户少的时候，什么事都没有。一旦开始赚钱，就会引来黑客。
我会全面检查您的应用，并告诉您需要修复什么
我先检查这类应用几乎都会有的漏洞，再看您的应用特有的部分：账户、数据、支付和 AI。
您会收到一份简单的报告，按紧急程度排列。每个问题都写明风险和修复方法。修复可以由您借助 AI 完成，也可以交给我。
- 用 AI 搭建的应用、WordPress 网站和服务器
- 没有藏好的 API 密钥和密码
- 任何人都能看到的客户数据
- 支付、账户与管理员权限
- 一份易读的报告，附上需要做的修复
我检查的内容
最常见的漏洞。
密钥与密码
页面里暴露的 API 密钥（OpenAI、Claude、Stripe 等）：别人拿去用，却由您付费。
客户数据
任何人都能读取或修改的数据库（Supabase、Firebase 等）。
账户与访问权限
一个客户能看到另一个客户的数据，或任何人都能打开的管理页面。
支付
可以绕过支付、不付钱就能使用服务的情况。
AI 智能体与工具
权限过大的 AI 智能体，或会被恶意消息操控的智能体。
服务器与版本
没有更新的软件，或根本不存在的备份。
合作流程
1. 您通过视频向我展示您的应用
2. 我把报价和一份授权书发给您签署
3. 我在不改动任何内容的前提下进行检查
4. 我交付报告，并和您一起过一遍
5. 如您愿意，我会亲自修复这些漏洞
还有疑问吗？
我会解答您的所有疑问。
-
我不是开发者，能看懂报告吗？
能，报告就是为此而写的。每个问题都会结合后果简单说明。您甚至可以复制修复方法，直接交给搭建应用的 AI。
-
需要给您应用的访问权限吗？
一部分无需任何权限即可完成。若要深入检查，我需要读取代码，以及您的数据库（如果有的话）。审计期间我不会做任何改动。
-
为什么需要书面授权？
未经网站所有者同意测试其安全性是违法的，即使出于善意。授权书写明我可以检查的范围，它保护我们双方。
如果您的网站托管在服务商那里，我会告诉您是否也要通知对方。
-
我的网站被黑了，您能处理吗？
可以。先处理紧急情况：阻止攻击、清理网站，并堵上黑客进入的漏洞。否则，黑客往往几周后又会回来。
之后，审计会确认没有其他漏洞。
-
您做渗透测试吗？
可以，在审计不够时进行。渗透测试中，我会像黑客一样真正尝试进入您的网站。测试什么、什么时候测试，事先以书面形式约定。
通常在网站副本上进行，以免影响您的客户。
-
审计之后呢？
您可以借助 AI 自己修复，也可以交给我。应用大幅更新之后，我也可以再来检查：新的漏洞往往就在那时出现。