如果你有在 Vibe Coding，那麼以下是你在公開前可以檢核的安全檢查清單，資料來自@DeFiMinty。

 

01 — 機密與設定（Secrets & Config）

  • 程式碼庫中寫死（Hardcode）的密碼、Token 或 API Key

  • 機密資訊透過 log、錯誤訊息或 API 回應外洩

  • .env 或環境設定檔被提交到 Git

  • 應該只在伺服器端使用的 API Key 卻暴露在前端

  • CORS 設定過於寬鬆

  • 使用了 已知存在漏洞的依賴套件

  • 預設帳號密碼或範例設定仍然存在

  • 生產環境仍開啟 Debug mode 或開發工具

02 — 存取控制與 API（Access & API）

  • 頁面或 API route 沒有正確的身份驗證

  • 使用者只要修改 URL 中的 ID 就能存取別人的資料

  • Token 被 不安全地儲存在前端

  • 登入或重設密碼流程 會洩漏帳號是否存在

  • API endpoint 沒有 rate limiting（請求頻率限制）

  • 錯誤回應 暴露內部系統細節

  • API endpoint 回傳超過實際需要的資料

  • 敏感操作（刪除帳號、修改 email 等）沒有確認步驟

  • Admin 管理頁面 只靠隱藏 URL 保護

03 — 使用者輸入（User Input）

  • 未過濾的使用者輸入直接進入 資料庫查詢

  • 使用者提交的文字 可能在其他使用者瀏覽器執行程式碼（XSS）

  • 檔案上傳 沒有檢查類型或大小

  • 付款或計費邏輯可以在前端被繞過