你用 AI 把它上线了。这些是 AI 没检查的地方。
AI 构建工具让你飞快上线，却跳过了枯燥的部分：粘贴进前端代码的密钥、任何人都能读取的数据库表、缺失的安全响应头、搜索引擎几乎看不懂的页面。粘贴网址，拿到一份按优先级排序的清单——附带你的 AI 可以直接执行的修复方案。
免费，无需注册。基础检测只发送普通浏览器会发送的请求。
我们在 AI 生成的网站上常见的问题
- 严重免费检测
公开 JavaScript 里的私密密钥
Supabase 的 service_role 或 secret 密钥，OpenAI、Anthropic 或 Stripe 的私密密钥——被发送到了每位访客的浏览器里。任何人都能从打包文件中复制它，花你的钱或读你的数据。
- 严重Pro
任何人都能读取的数据库表
如果关闭了 Row Level Security，任何持有公开密钥的人都能查询你的 Supabase 数据表。验证域名后，我们会统计有多少行可被读取——从不读取它们的内容。
- 中免费检测
没有 Content-Security-Policy 或 HSTS
缺少它们，一段注入的脚本就能窃取会话，首次访问也可能被降级为明文 HTTP。通常只需在托管平台加几行配置。
- 中免费检测
没有同意工具就运行追踪代码，也没有隐私政策
页面上有统计分析或广告追踪代码，却没有可识别的同意工具，也没有指向隐私政策或服务条款的链接。这在 GDPR 下是个问题——也是支付服务商首先会看的地方。
- 低免费检测
搜索引擎只拿到一个空壳
缺少标题、描述、站点地图或社交分享预览——我们同时检查原始 HTML 和真实浏览器渲染后的页面。
修复方案以提示词形式交给你的 AI
你不需要知道 CSP 响应头是什么。把报告里的提示词复制到 Lovable、Bolt、Cursor 或 Claude Code——它列出了每条发现、所在位置，以及如何验证修复。
修复 shop.example 上的这些问题。修改任何内容前先定位每个问题；用最小的改动完成修复。 1. 公开的 JavaScript 打包文件（assets/index-3f9c.js）中有 Supabase service_role 密钥。 把所有需要它的调用移到服务端函数，在 Supabase 中轮换该密钥，浏览器里只使用 anon 密钥。 2. 没有 Content-Security-Policy 响应头。 在托管平台上添加一个；从 default-src 'self' 开始，只放行页面真正加载的来源。 完成后重新检测：https://scanyoursite.app/zh?check=shop.example
你的下一次部署会弄坏点什么
AI 工具会重写整个文件。修好的密钥又回来了；某个页面被加上了 noindex。开通 Pro 后，我们会察觉每一次新部署，在几分钟内完成检测，只在出现新问题时通知你——通过 Telegram、邮件，或发到 Slack 和 Discord。
查看方案常见问题
检测正在运行的线上网站安全吗？
安全。免费检测只发送普通浏览器或搜索爬虫会发的请求：页面、脚本、robots.txt、站点地图、DNS 和证书。它从不登录、不提交表单，也不猜密码。
支持哪些构建工具？
任何有公开网址的网站：Lovable、Bolt、Cursor、v0、Replit、Windsurf、Base44，或者你自己写的代码。我们从外部查看线上站点，无需安装任何东西。
我需要看懂这些发现吗？
不需要。每条发现都会说明它对你的用户或你的账单意味着什么，报告还会给你一段提示词，粘贴到你的 AI 编程工具里即可。
多少钱？
检测免费。监控每月 $19 / €19 起，含三个站点：每天检测一次、每五分钟检测可用性，并在每次部署后检测。
粘贴网址，大约一分钟拿到清单。
每条发现都会说明它对你意味着什么、该如何修复——或者给你一段 AI 编程工具可以直接执行的提示词。
免费，无需注册。基础检测只发送普通浏览器会发送的请求。