https://moshieldapp.com/zh-cn/blog/为中小企业提供实用的网站与 API 安全知识，帮助你明确检测范围、理解风险并推动整改。zh-CNhttps://moshieldapp.com/zh-cn/blog/website-security-testing-quote-scope/https://moshieldapp.com/zh-cn/blog/website-security-testing-quote-scope/Sat, 26 Sep 2026 00:00:00 GMT同样写着“网站安全检测”，两份报价可能对应不同的工作。先核对目标、登录权限、证据、未覆盖项和复测规则。Mingxi 的 US$120 标准检查针对约定的未登录公网目标，不是整个应用的全面渗透测试。https://moshieldapp.com/zh-cn/blog/exposed-api-key-website-response/https://moshieldapp.com/zh-cn/blog/exposed-api-key-website-response/Sat, 26 Sep 2026 00:00:00 GMT机密凭据进了浏览器，删掉可见字符串不会让别人保存的副本失效。应由负责人撤销或轮换密钥，核查使用记录并清理暴露副本。但先确认它是不是机密：有些服务本来就提供可公开的客户端密钥。https://moshieldapp.com/zh-cn/blog/ai-built-website-security-before-launch/https://moshieldapp.com/zh-cn/blog/ai-built-website-security-before-launch/Sun, 20 Sep 2026 00:00:00 GMTAI 写的网站也要检查实际部署版本。先看公开文件、密钥和服务端输入校验，再把需要源码或测试账号才能确认的部分单独列出。预览能运行，不能代替这些检查。https://moshieldapp.com/zh-cn/blog/ai-code-review-security-evidence/https://moshieldapp.com/zh-cn/blog/ai-code-review-security-evidence/Sun, 20 Sep 2026 00:00:00 GMTAI 审查没有留言，只能说明这轮审查没有报告问题。要判断线上系统，还得知道它看过哪些代码、结论有什么证据，以及哪些检查根本没做。https://moshieldapp.com/zh-cn/blog/ai-chatbot-prompt-injection-boundaries/https://moshieldapp.com/zh-cn/blog/ai-chatbot-prompt-injection-boundaries/Sun, 20 Sep 2026 00:00:00 GMT提示注入既可能来自聊天消息，也可能藏在检索到的文档里。AI 客服接入资料或工具后，应检查它能读取什么、执行什么。系统提示词写得再细，也不能替代模型之外的权限检查。https://moshieldapp.com/zh-cn/blog/website-security-checklist/https://moshieldapp.com/zh-cn/blog/website-security-checklist/Sat, 12 Sep 2026 00:00:00 GMT先列清公网服务、处理的数据和负责人，再确定检测范围。一次有用的安全检查，应当留下可以分派和验证的整改任务，而不只是一个扫描分数。https://moshieldapp.com/zh-cn/blog/black-box-testing-vs-scanning/https://moshieldapp.com/zh-cn/blog/black-box-testing-vs-scanning/Sat, 12 Sep 2026 00:00:00 GMT黑盒描述的是测试人员掌握多少系统内部信息，扫描描述的是一种检查技术。两者并不互斥，一次限定范围的检测可以同时使用自动化工具和人工分析。https://moshieldapp.com/zh-cn/blog/prepare-authorized-security-test/https://moshieldapp.com/zh-cn/blog/prepare-authorized-security-test/Sat, 12 Sep 2026 00:00:00 GMT检测开始前，应共同确认资产、允许的操作、时间窗口及紧急联系人。把这些内容写清楚，有助于出现异常时及时暂停，而不是临时猜测处理方式。https://moshieldapp.com/zh-cn/blog/api-object-authorization/https://moshieldapp.com/zh-cn/blog/api-object-authorization/Sat, 12 Sep 2026 00:00:00 GMT身份认证回答“用户是谁”，对象级授权回答“这个用户能否访问当前记录”。面向客户的 API 需要同时正确处理这两个问题，不能把已登录直接等同于有权限。https://moshieldapp.com/zh-cn/blog/secure-file-upload-forms/https://moshieldapp.com/zh-cn/blog/secure-file-upload-forms/Sat, 12 Sep 2026 00:00:00 GMT应把上传附件视为不可信数据。文件校验、私有存储和受控读取解决的是不同问题；只限制常见扩展名，并不构成完整的上传安全策略。https://moshieldapp.com/zh-cn/blog/login-security-basics/https://moshieldapp.com/zh-cn/blog/login-security-basics/Sat, 12 Sep 2026 00:00:00 GMT登录安全不应只看登录页面，还应覆盖账号恢复和敏感资料变更。即使主登录流程很强，较弱的找回入口仍可能破坏整体保护。https://moshieldapp.com/zh-cn/blog/https-is-not-a-security-audit/https://moshieldapp.com/zh-cn/blog/https-is-not-a-security-audit/Sat, 12 Sep 2026 00:00:00 GMTHTTPS 保护传输中的通信，但不会判断一个客户能否查看另一个客户的记录，也不会替应用决定上传文件是否应私有保存。https://moshieldapp.com/zh-cn/blog/prioritize-security-fixes/https://moshieldapp.com/zh-cn/blog/prioritize-security-fixes/Sat, 12 Sep 2026 00:00:00 GMT整改排序需要同时考虑技术证据和业务背景。严重等级可以作为讨论起点，但不能代替对实际暴露情况、影响范围及修复负责人的了解。https://moshieldapp.com/zh-cn/blog/read-a-security-report/https://moshieldapp.com/zh-cn/blog/read-a-security-report/Sat, 12 Sep 2026 00:00:00 GMT阅读报告时，先看检测范围和限制，再看问题数量。随后区分哪些事项需要业务决策、哪些需要工程修改、哪些仍需进一步解释。https://moshieldapp.com/zh-cn/blog/security-retesting-after-fixes/https://moshieldapp.com/zh-cn/blog/security-retesting-after-fixes/Sat, 12 Sep 2026 00:00:00 GMT修复应在实际相关环境中得到验证。复测既要确认原问题已被处理，也要核对合法用户仍能完成正常业务，不能仅以工单关闭作为完成依据。