示例报告

22 个问题，全部展开

这就是完整报告的样子。打开任意问题，查看证据、风险和修复方法。

• 严重支付你的 Stripe 私密密钥在网站代码中可见

  任何人都能复制这个密钥，以你的 Stripe 账户身份操作：查看客户及其付款、退款或发起扣款。真金白银可能从你的账户流出。

  今天就做： 立即在 Stripe 控制台吊销这个密钥并创建新的。它已经公开，只从代码中删除是不够的。

  如何修复

  1. 立即在 Stripe 控制台吊销这个密钥并创建新的。它已经公开，只从代码中删除是不够的。
  2. 新密钥只放在服务器端：从私密环境变量读取它的 Edge Function、API 路由或后端。绝不要给它加 VITE_、NEXT_PUBLIC_ 或 REACT_APP_ 这样的公开前缀。
  3. 让页面调用你的服务器函数，而不是直接使用密钥。
  4. 浏览器中只使用 publishable 密钥。在服务器上用私密密钥创建支付会话。
  5. 重新发布网站并运行这次扫描，确认密钥已消失。

  LovableBoltCursorReplit

  复制提示词

  My app exposes a Stripe live secret key in the frontend code that every visitor downloads (it starts with "sk_liv…"). Remove this key from all client-side code and from any environment variables that get bundled into the browser. Move every operation that needs it into a server-side function that reads the key from a secret environment variable, and change the frontend to call that function instead. In the browser use only the publishable key. Create checkout sessions on the server with the secret key. I will revoke the old key and add the new one to the secrets myself. If this needs a secret key, put the server-side code in a Supabase Edge Function and store the key in the project's secrets (not in the code). Keep everything else working exactly as it does now and don't touch unrelated files. When you're done, list what you changed.

  我们发现了什么

  https://demo.okaytoship.com/assets/index-D6yG_D9G.jsStripe live secret key: sk_liv…

• 严重安全数据库主密钥在网站代码中可见
• 高SEO搜索引擎和链接预览看到的是空白页
• 高支付价格可能由访客的浏览器决定
• 高法律你的首页没有隐私政策链接
• 高成本你的网站直接从访客浏览器调用 OpenAI
• 中安全没有告诉浏览器始终使用网站的安全版本
• 中安全缺少 4 个浏览器保护头
• 中安全应用的原始源代码随网站一起发布
• 中SEO页面标题仍是模板自带的标题
• 中SEO你的页面没有用于搜索结果的描述
• 中SEO指向你网站的链接没有像样的预览
• 中法律任何人都能冒充你的域名发邮件（缺少 SPF）
• 中法律没有任何机制阻止骗子伪造你域名的邮件（缺少 DMARC）
• 中法律你的网站在未征得 Cookie 同意的情况下跟踪访客
• 低SEO没有设置规范地址（canonical）
• 低SEO缺少 robots.txt 文件
• 低SEO缺少给搜索引擎的站点地图
• 低法律发往 @okaytoship.com 的邮件会被退回
• 低法律你的首页没有服务条款链接
• 低法律访客找不到联系你的方式
• 提示支付我们在你的首页没有找到付款方式