# VICE VICE 为独立开发者运行 Web 安全审计，提供公开轻量扫描、经验证的完整审计、Supabase RLS 深度扫描、AI 修复建议和 CI 检查。 - Findings24: - 网站: - 价格: Freemium - 分类: AI 趣味工具 ## 什么是 VICE？ VICE 使用公开、非侵入式检查以及与您拥有的域名关联的经验证审计，扫描 Web 产品中的安全问题。该平台专注于提供带有证据、清晰评分和修复背景的发现结果，帮助开发者了解发现了什么以及下一步该怎么做。 它涵盖常见的 Web 暴露检查，例如安全标头、TLS、暴露文件和泄露的密钥；还包括 Supabase Deep Scan、AI/RAG 安全检查、WordPress 检查、定期审计，以及通过 GitHub Actions 执行的基于 CI 的审计等深度模块。 ## VICE 能做什么？ ### 免费的公开轻量扫描 无需注册即可运行非侵入式扫描。轻量扫描会检查安全标头、TLS、robots.txt 和 security.txt、暴露文件，以及公开 JavaScript 中泄露的密钥等公开信号。 ### 经验证的完整审计 DNS TXT 记录证明域名所有权后，即可解锁更深入的检查。经验证的审计仅针对您拥有的域名，并以非破坏性为设计目标。 ### Supabase Deep Scan VICE 可以针对每个域名检查一次 Supabase 项目，检查数据表、RLS 策略、存储桶暴露情况和边缘函数是否存在实际暴露。 ### 包含修复背景的 AI 修复建议 每项发现都可以包含通俗易懂的说明和准确的补丁。产品会将原始证据与修复方案放在一起，方便您在应用修复前确认问题。 ### CI 和定期审计 GitHub Action 可以在每次推送时运行审计，并在出现新的严重发现时使构建失败。每周或每月的定期运行可保持评分最新并发现回归问题。 ### 基于域名的工作区 每个域名都有自己的工作区，审计、发现结果、模块和历史记录都关联到该域名，而不是分散在不同项目中。 ## 使用场景 ### 上线前安全检查 使用免费的公开扫描，在注册前验证基础安全状况；也可以购买单次审计额度，对项目进行一次性上线前审查。 ### Supabase 应用审计 对于基于 Supabase 构建的产品，每个域名保存一次项目，并使用深度扫描查找缺失的 RLS 策略、权限过于宽松的策略、暴露的存储桶及相关暴露问题。 ### 持续回归监控 运行每周或每月的定期审计，使评分保持最新，并在用户遇到新发现的问题之前将其捕获。 ### 持续集成检查 将 GitHub Action 添加到构建流水线中，使其在每次推送时运行审计，并在引入新的严重问题时使构建失败。 ### 多个项目的安全审查 使用 Pro 计划的结构管理多个经验证域名，集中进行评分跟踪，并生成可分享的白标报告。 ## 常见问题 ### 免费的轻量扫描会检查什么？ 它只检查公开信号：安全标头、TLS、robots.txt 和 security.txt、暴露文件，以及公开 JavaScript 中泄露的密钥。它不会使用身份验证或侵入式探测。 ### 经验证的审计如何运作？ DNS TXT 记录用于证明您拥有该域名。验证完成后，该域名即可解锁更深入的审计，并且审计范围仍限定于该域名。 ### VICE 可以在 GitHub Actions 中运行吗？ 可以。GitHub Action 可以在每次推送时运行审计，在出现新的严重问题时使构建失败，并自动更新评分徽章。 ### Supabase Deep Scan 有什么不同？ 您每个域名只需保存一次 Supabase 项目 URL 和 anon key，VICE 就会检查这些公开凭据可以访问的内容，包括 RLS 缺口、权限过于宽松的策略、暴露的存储桶和边缘函数。 ### 不创建账户也可以使用 VICE 吗？ 公开轻量扫描可以。网站说明即时公开检查无需账户；而经验证的审计和连接的工作流则使用登录后功能。 ## 快速信息 - **类别**: Web 安全审计 - **主要用户**: 运营 Web 产品的独立开发者、个人开发者和创客 - **公开扫描**: 无需注册的免费轻量扫描 - **经验证的审计**: 完成域名所有权 DNS 验证后解锁 - **定价形式**: 免费层级、付费月度计划和单次审计额度 - **集成**: GitHub Actions、GitHub、Supabase、定期审计、电子邮件和 Discord 提醒、白标报告