面向 AI 构建 SaaS 应用的上线前安全检查清单
在上线 SaaS 或 vibe-coded 应用之前，请逐项过一遍这份安全检查清单：为每张表启用行级安全、把每个机密都移出客户端、在私有路由上强制授权、添加安全响应头、锁定 CORS、添加限流，并在线上部署上把这一切验证一遍。这些正是让 AI 构建应用上线翻车的问题——而且一旦你知道该看哪里，大多数都能很快修好。
- 适用人群
- 正在上线 SaaS 或 AI 构建应用的创始人
- 覆盖范围
- 数据库、机密、鉴权、响应头、CORS、限流
- 完成耗时
- 对大多数 MVP 而言一个下午
- 验证工具
- 免费的 RLS、机密、响应头和 CORS 扫描器
1. 锁定你的数据库
为每张 Supabase 表启用行级安全（或为 Firebase/Appwrite 配置妥当的规则），让公开的 anon 密钥无法读取或写入私有数据。「已启用 RLS」还不够——要确认策略已限定到所属用户，并且没有任何「全部允许」式的规则。用免费的 RLS 检测器验证。
2. 把每个机密都移出客户端
service-role 密钥、Stripe 私钥和 API 令牌只能存在于服务端环境变量中。任何带公开前缀（NEXT_PUBLIC_、VITE_）的内容都会发布到浏览器。扫描你的线上打包文件查找暴露的机密，并轮换任何已泄露的内容。
3. 强制执行认证与授权
每个私有路由、API 端点和管理后台都必须检查请求方是否已登录、是否被允许访问那条具体数据。不要依赖隐藏 UI 元素——底层数据必须在服务端受到保护。
4. 添加安全响应头并锁定 CORS
设置 Content-Security-Policy、Strict-Transport-Security、X-Content-Type-Options 和 X-Frame-Options。把 Access-Control-Allow-Origin 限制到受信任的来源——绝不要在携带凭据时反射任意来源。用免费的响应头和 CORS 检测器验证。
5. 添加限流并在生产环境上验证
对鉴权和高开销端点进行限流，以防止滥用和抓取。然后对线上部署重新跑一遍每一项检查——预发布配置常常与生产环境不同。当这一切都通过时，你就获得上线许可了。
在上线之前先拿到放行许可。
加入抢先体验名单。我们会优先服务已部署应用、且日程上已有上线日期的创始人。
常见问题
- 上线前最重要的安全检查是什么？
- 对 AI 构建的应用来说，是数据库访问控制——缺失或过于宽松的行级安全，是 vibe-coded 应用入侵最常见的单一成因。从那里开始，然后是机密，再然后是授权。
- 我可以自己做吗？
- 可以——一旦你知道该看哪里，大多数项目都很快，而我们的免费扫描器会逐项验证。如果你需要一份签署、投保、证明修复确实有效的确认，ClearedToShip 的审查会加上人工认证。