模块 6 · 测试、安全与发布 · 第 2/5 节

🎯学习目标

• 掌握安全底线
• 会运行安全扫描
• 理解个人数据保护

🧭操作步骤

1. 1

   密钥不进聊天和代码

   服务端秘密凭据只走安全授权或 Secrets，不进聊天、仓库或浏览器；明确可公开的客户端 key 按供应商规范配置域名和配额。泄露的 secret 立即撤销与轮换。

2. 2

   最少收集原则

   只收集业务必需的个人信息；手机号、身份证等敏感信息严格限制访问。

3. 3

   数据层权限

   确保每张表都有访问规则，不能依赖“页面上不显示”。

4. 4

   运行安全扫描

   在 Security 查看发现并运行发布检查。自动扫描不等于完整审计或合规认证；记录扫描覆盖范围，补充身份、越权及业务流程测试。

5. 5

   第三方服务

   只授予必需的权限；不再使用的连接及时断开。

💬可复制提示词

请检查项目安全：1）每张数据表的访问规则是否正确；2）是否有密钥出现在前端代码；3）敏感字段是否只有本人和管理员可见；4）列出发现的问题和修复建议。

📝自检题