AI建站，上線前查什麼

預覽頁裡看不見的檔案

假設一個小網站有聯絡表單和資料上傳：表單提交正常，上傳目錄卻允許任何人讀取。這是一種可能的設定錯誤，並非某個 AI 工具或真實客戶的檢測結果。

列出生產網域、附件保存位置和寄信服務，用自己準備、不含敏感內容的檔案確認未登入訪客能取得什麼。只檢查已授權目標，不要順手掃描託管平台或其他客戶的資產。

介面沒有選項，伺服器仍要驗證

瀏覽器可以送出介面未提供的值。附件類型、大小和保存位置由誰驗證，維護人員應能指出伺服器端的處理位置。也應檢查正式網站載入的程式：金鑰放在環境變數裡，不代表建置時不會被複製到前端。

若真實金鑰已公開，只刪除畫面上的字串並不足夠。應撤銷或輪替金鑰，並核對使用紀錄。報告和溝通截圖都不要再放完整金鑰。

報告寫明查過什麼

將部署版本、目標、觀察結果及修復負責人放在同一份紀錄。程式碼審查與外部檢測回答的問題不同，不能把其中一份結果當成另一項已完成的證明。

Mingxi 標準服務針對約定目標在未登入狀態下的公網暴露面，不包含原始碼稽核、登入後功能、業務邏輯測試或 AI 模型評估。下單前先確認範圍。

執行清單

• 確認生產目標及維護負責人。
• 用不含敏感內容的檔案測試上傳。
• 核對前端金鑰暴露與伺服器端驗證。
• 將未檢查項與發現的問題一起記錄。

常見問題

AI 寫的網站一定比較不安全嗎？

不能據此判斷。應檢查程式碼和部署設定。使用哪種開發工具，既不是存在漏洞的證據，也不是安全證明。