16,326
个暴露的数据库
2026 年 9 月，UpGuard 的研究人员扫描了约 30 万个域名，发现超过 1.6 万个 Supabase 数据库会响应任何人的请求，其中半数以上包含个人数据。
来源：UpGuard, via SaaSCity为 AI 构建的应用提供安全保障
应用是 AI 做的。我们来确保它没有泄露用户的数据。
用 Lovable、Bolt、Replit、Cursor 和 v0 做的应用，常常在数据库敞开、密钥外露、认证薄弱的情况下就上线了。我们找出问题并按固定价格修复。不重写，不绑定。
- 只读检查，仅在你授权后进行
- 固定价格，公示于下方
- 你的代码和基础设施留在你自己的账户里
问题所在
这并非假设
RLS 关闭
就是原因
AI 编码工具常常在不启用 Row Level Security 的情况下创建数据表。一旦关闭，每个应用里都带着的公开密钥就能读取（有时还能删除）每一行数据。
98%
至少有一处缺陷
在对 1,072 个上线的 AI 应用的一次扫描中，98% 至少有一处安全缺陷。这很常见，并不罕见。
来源：Symbiotic Security, via Medium多数创始人是在用户、研究者或攻击者先发现之后才知道的。修复通常很小，难的是发现。
范围
我们检查并修复什么
你会得到一份通俗易懂的报告：哪里有问题、我们改了什么，以及你下次给 AI 下指令时要注意什么。
- 数据库访问规则
- 为每张表启用 Row Level Security，并制定与「谁该看什么」相符的策略。我们不会只是打开开关就把你的应用搞坏。
- 外露的密钥
- 留在前端代码或公开仓库里的服务密钥、API 令牌和凭据。我们会轮换它们并移到服务器端。
- 认证
- 注册、密码重置、邮箱验证和会话处理，确保没人能进入他人的账户。
- 支付与 Webhook
- 对 Stripe 等 Webhook 进行签名校验，让伪造的「支付成功」事件无法解锁付费功能。
- 存储
- 本应私有却公开的存储桶：用户上传、发票、证件等。
- 备份与恢复
- 开启时间点备份并测试恢复，让一次错误的 AI 改动不会抹掉你的数据。
我们支持的技术栈
- Supabase
- Firebase
- Next.js
- React / Vite
- Node
- Vercel
- Netlify
- Cloudflare
别的技术栈？尽管问。如果超出我们的范围，我们会如实相告。
流程
如何进行
- 1
免费检查（48 小时）
发来你应用的网址并确认你已获授权。我们进行只读、非破坏性的检查，并把发现的最严重问题邮件发给你。
- 2
修复（3–5 个工作日）
你授予临时访问权限。我们先备份，在单独的分支或预览中操作，未经你同意不会进入生产环境。
- 3
报告 + 交接
你会拿到书面报告，除非你选择持续防护，否则我们会移除自己的访问权限。
价格
固定价格，开门见山。
Free Check
想知道自己现状的人
$0
- 外部只读检查
- 48 小时内以书面形式给出主要问题
Security Fix
发布价即将上线或已有用户的应用
$490$990 一次性
仅限前 5 个项目，之后为 $990。- 「我们检查并修复什么」中的全部内容
- 一个应用、一个生产环境、最多 25 张表
- 通俗易懂的报告
- 14 天的后续答疑
预约 Security Fix
每次修复都从免费检查开始，好在你付款前确认范围和价格。
Guard
修复后仍在用 AI 继续开发的创始人
$149/月
- 每周自动扫描
- 你的 AI 每次改动上线前都会被审查
- 可用性和错误监控
- 备份检查
- 优先修复
修复后添加
应用更大、环境更多，或需要重做？我们会在开始前给出固定报价。我们不按小时收费。
我们的做法
- 由资深工程师亲自完成。 拥有十余年后端与前端经验。不是机器人，也不是丢给初级工程师的清单。
- 你的应用仍归你所有。 代码、数据库和托管都留在你自己的账户里。我们绝不把你的数据搬到我们这边。
- 只做授权测试。 我们只测试你拥有或已获授权测试的应用，并以书面形式确认。
- 默认保密。 可应要求签署保密协议。绝不保留你数据的副本。临时访问在交接时移除。
- 正规注册公司， 每一笔收费都开具合同和发票。
这不是什么
- 不是正式的渗透测试或合规认证 （SOC 2、HIPAA、PCI）。如果你需要，我们会告诉你，并能帮你的应用做好准备。
- 不是保证万无一失。 没有人能诚实地做出这种承诺。我们修复已知的、常见的、影响大的问题，也就是攻击者最先盯上的地方。
- 不是重写。 我们修复你现有的东西。如果某处确实无法挽救，我们会如实说明并单独报价。
常见问题
常见问题
免费检查需要我应用的访问权限吗？
不需要。免费检查只用你的公开网址，并需你的书面授权。Security Fix 需要对你的仓库和数据库的临时访问权限。
你会把我的应用弄坏吗？
我们在动任何东西之前都会备份，在单独的分支或预览中操作，并在任何内容上线前与你一起测试主要流程。
我不知道自己用的是什么技术栈。
没关系。告诉我们你是用哪个工具做的（Lovable、Bolt、Replit……），其余的交给我们。
修复要多久？
收到访问权限后 3–5 个工作日，适用于标准范围内的应用。
之后我还能继续用 AI 开发吗？
可以。报告会包含该如何告诉你的 AI，避免它重新引入这些问题。Guard 还会审查每一次改动。
如果没发现严重问题呢？
那很好。你会得到书面结论，检查本身不收费。
你们做美国以外的应用吗？
做。我们与任何地方的创始人远程合作。沟通可用英语、葡萄牙语或日语。
赶在用户之前发现问题。
免费、只读、经你授权。48 小时内出结果。
免费安全检查
申请你的免费检查
只读且非破坏性。我们只查看公开可访问的部分，并在 48 小时内把最严重的问题邮件发给你。