AI建站，上线前查什么

预览页里看不见的文件

设想一个带联系表单和资料上传的小网站：表单提交正常，上传目录却允许任何人读取。这里说的是一种可能的配置错误，不是某个 AI 工具或真实客户的检测结果。

把生产域名、附件保存位置和发信服务列出来，用自己准备的无敏感内容文件，确认未登录访客能拿到什么。检查仅限已授权目标，不要顺手扫描托管平台或其他客户的资产。

界面没给选项，服务端也要检查

浏览器可以提交界面上没有提供的值。附件类型、大小、保存位置究竟由谁校验，维护人员应能指出服务端处理的位置。生产页面加载的脚本也值得检查：密钥放在环境变量里，不代表它不会在构建时被复制进前端。

如果真密钥已经公开，删掉页面上的字符串还不够。应撤销或轮换密钥，并核对使用记录。报告和沟通截图里都不要再放完整密钥。

报告写明查过什么

将部署版本、目标、观察结果和修复负责人放在同一份记录里。代码审查与外部检测回答的问题不同，不能把其中一份结果当成另一项已经完成的证明。

Mingxi 标准服务针对约定目标在未登录状态下的公网暴露面，不包含源码审计、登录后功能、业务逻辑测试或 AI 模型评估。下单前先确认范围。

执行清单

• 确认生产目标和维护负责人。
• 用无敏感内容的文件测试上传。
• 核对前端密钥暴露和服务端校验。
• 将未检查项与发现的问题一起记录。

常见问题

AI 写的网站一定更不安全吗？

不能据此判断。应检查代码和部署配置。使用什么开发工具，既不是存在漏洞的证据，也不是安全证明。