VICE

什么是 VICE？

VICE 使用公开、非侵入式检查以及与您拥有的域名关联的经验证审计，扫描 Web 产品中的安全问题。该平台专注于提供带有证据、清晰评分和修复背景的发现结果，帮助开发者了解发现了什么以及下一步该怎么做。

它涵盖常见的 Web 暴露检查，例如安全标头、TLS、暴露文件和泄露的密钥；还包括 Supabase Deep Scan、AI/RAG 安全检查、WordPress 检查、定期审计，以及通过 GitHub Actions 执行的基于 CI 的审计等深度模块。

VICE 能做什么？

免费的公开轻量扫描

无需注册即可运行非侵入式扫描。轻量扫描会检查安全标头、TLS、robots.txt 和 security.txt、暴露文件，以及公开 JavaScript 中泄露的密钥等公开信号。

经验证的完整审计

DNS TXT 记录证明域名所有权后，即可解锁更深入的检查。经验证的审计仅针对您拥有的域名，并以非破坏性为设计目标。

Supabase Deep Scan

VICE 可以针对每个域名检查一次 Supabase 项目，检查数据表、RLS 策略、存储桶暴露情况和边缘函数是否存在实际暴露。

包含修复背景的 AI 修复建议

每项发现都可以包含通俗易懂的说明和准确的补丁。产品会将原始证据与修复方案放在一起，方便您在应用修复前确认问题。

CI 和定期审计

GitHub Action 可以在每次推送时运行审计，并在出现新的严重发现时使构建失败。每周或每月的定期运行可保持评分最新并发现回归问题。

基于域名的工作区

每个域名都有自己的工作区，审计、发现结果、模块和历史记录都关联到该域名，而不是分散在不同项目中。

使用场景

“上线前安全检查”

使用免费的公开扫描，在注册前验证基础安全状况；也可以购买单次审计额度，对项目进行一次性上线前审查。

“Supabase 应用审计”

对于基于 Supabase 构建的产品，每个域名保存一次项目，并使用深度扫描查找缺失的 RLS 策略、权限过于宽松的策略、暴露的存储桶及相关暴露问题。

“持续回归监控”

运行每周或每月的定期审计，使评分保持最新，并在用户遇到新发现的问题之前将其捕获。

“持续集成检查”

将 GitHub Action 添加到构建流水线中，使其在每次推送时运行审计，并在引入新的严重问题时使构建失败。

“多个项目的安全审查”

使用 Pro 计划的结构管理多个经验证域名，集中进行评分跟踪，并生成可分享的白标报告。

常见问题

免费的轻量扫描会检查什么？

它只检查公开信号：安全标头、TLS、robots.txt 和 security.txt、暴露文件，以及公开 JavaScript 中泄露的密钥。它不会使用身份验证或侵入式探测。

经验证的审计如何运作？

DNS TXT 记录用于证明您拥有该域名。验证完成后，该域名即可解锁更深入的审计，并且审计范围仍限定于该域名。

VICE 可以在 GitHub Actions 中运行吗？

可以。GitHub Action 可以在每次推送时运行审计，在出现新的严重问题时使构建失败，并自动更新评分徽章。

Supabase Deep Scan 有什么不同？

您每个域名只需保存一次 Supabase 项目 URL 和 anon key，VICE 就会检查这些公开凭据可以访问的内容，包括 RLS 缺口、权限过于宽松的策略、暴露的存储桶和边缘函数。

不创建账户也可以使用 VICE 吗？

公开轻量扫描可以。网站说明即时公开检查无需账户；而经验证的审计和连接的工作流则使用登录后功能。

快速信息

类别

Web 安全审计

主要用户

运营 Web 产品的独立开发者、个人开发者和创客

公开扫描

无需注册的免费轻量扫描

经验证的审计

完成域名所有权 DNS 验证后解锁

定价形式

免费层级、付费月度计划和单次审计额度

集成

GitHub Actions、GitHub、Supabase、定期审计、电子邮件和 Discord 提醒、白标报告