适合借助 AI 编程工具快速上线、现在需要确认一个用户能否访问另一个用户数据的创业者、独立开发者和小团队。
在正式上线、开始收费或接入首批企业客户之前。
测试内容
- 审查注册、登录、会话和密码重置。
- 检查谁能读取和修改谁的数据，包括 Supabase、Firebase 或自建 API 中的行级和对象级规则。
- 查找暴露在客户端、代码仓库或公开存储中的密钥和 API Key。
- 测试过度信任客户端的支付、Webhook 和管理后台流程。
合作流程
发送简要需求
说明产品情况、近期变更、您想确认的问题以及时间要求。一段话即可，我会在三天内回复。
获取书面方案
方案写明范围、方法、排除项、交付物、价格和日期。保密条款、NDA 和复测安排也在同一份方案中约定。
全程了解工作进展
安全评估期间，证据和优先级一经确认即同步给您；开发项目则按约定的里程碑供您审阅。
报告与结果讲解
您将收到报告或交付成果，并与您的团队进行一次结果讲解。后续的修复或验证工作另行与您商定。
我报告过的安全漏洞
我已报告 150 多个安全漏洞，其中包括 Facebook 和 Instagram 中经 Meta 验证并确认的 7 个漏洞。您的应用将得到同样的攻击者视角审视：身份认证、权限以及两者之间的业务逻辑。
查看过往成果开始前的常见问题
这和自动化扫描一样吗？
不一样。扫描器和 AI 审查工具只能发现常见模式。我会像攻击者一样测试应用：注册账户、在不同账户之间切换，并尝试访问不属于我的数据。
您需要我提供什么？
应用的网址、两个不同角色的测试账户，如有可能，再提供代码仓库和后端设置的只读权限。请不要通过电子邮件发送生产环境的密码。
您支持哪些技术栈？
使用 Cursor、Lovable、Bolt、Replit、v0 或 Copilot 等工具开发的应用，通常基于 Next.js、React、Supabase、Firebase 或 Node.js API。告诉我您的技术栈，我会确认是否适合。
您多快会回复？
最迟三天内回复。您会收到关于产品的问题，或者一份方案大纲。
费用是多少？
公布的价格为起步价。最终价格取决于范围和技术复杂度，并在开始前写入书面方案。
需要多长时间？什么时候可以开始？
周期和开始日期取决于范围、技术复杂度以及我当前的工作安排。方案中会写明日期。
可以签署 NDA 吗？
可以。在您分享代码、凭据或漏洞发现之前，保密条款（包括您需要的 NDA）会在方案中约定。
包含复测吗？
复测在每次合作的方案中单独约定：针对哪些发现、哪个版本以及时间窗口。
您与服务公司合作吗？
合作。服务公司可以邀请我参与其客户项目。交付条款（包括白标报告）在方案中逐案约定。