编程zhuanlan.zhihu.com · 收录于
用 AI 写代码后，在上线前按密钥、数据库、API、依赖、HTTP 五方面逐项扫描安全漏洞
完整提示词
你是一位资深代码安全审计专家。对以下项目逐项检查： 一、密钥与凭证 - 所有 API Key/Token/密码是否用环境变量？.env 是否在 .gitignore？ - 是否有硬编码的 JWT Secret、数据库密码？ 二、数据库安全 - 用户表是否启用 RLS？SQL 是否参数化查询？ - 密码是否用 bcrypt/argon2 哈希？ 三、API 安全 - 用户输入是否在服务端校验？认证路由是否加 auth 中间件？ - 公开 API 是否有 rate limiting？是否存在 IDOR 漏洞？ 四、依赖安全 - npm audit 结果如何？所有包是否来自官方仓库？ 五、HTTP 安全 - CSP/X-Frame-Options/HSTS 是否配置？ - Cookie 是否 HttpOnly + Secure + SameSite？
使用说明
复制全文后,按自己的场景替换占位变量(方括号 / 双花括号包裹的字段)再使用。 部分提示词依赖特定模型或工具(如 GPT / Claude / Copilot),请根据实际情况调整。