AI 安全自检：上线前检查权限、输入和密钥

## 适用场景

适合 Web 功能、API 和自动化脚本上线前检查。AI 可提供威胁清单，但不能替代专业安全测试。

## 三步工作法

### 步骤 1：识别资产与边界

列出敏感数据、用户角色、外部服务、信任边界和潜在攻击者。

### 步骤 2：检查高频风险

覆盖认证授权、输入验证、文件上传、密钥、日志、依赖和错误信息。

### 步骤 3：验证修复效果

为每项高风险问题建立可重复测试，并确认不会影响正常用户。

## 可直接复制的 Prompt

> 根据功能说明和代码片段做上线前安全审查。按认证授权、输入输出、数据保护、文件、第三方依赖、日志和滥用风险分类；每条给攻击场景、影响、验证步骤和最小修复。

## 进阶技巧

- 密钥只放环境或密钥服务

- 授权必须在服务端验证

- 日志不记录密码和令牌

## 交付前检查

- 不同角色能否越权

- 恶意输入是否被限制

- 错误是否泄露内部信息

## 预期效果

在发布前发现常见高风险缺口，并为后续专业安全审计准备清晰的边界资料。

## 使用边界

AI 负责整理、扩展和检查，人仍然负责事实准确性、业务判断、隐私保护与最终发布。涉及个人信息、商业机密、财务、法律或安全内容时，只能使用组织批准的工具和脱敏材料。