AI 生成的代码敢直接上线？8 条安全自检清单

清单不是安全证书

AI与人工生成代码都要检查。本页没有漏洞率或攻击时间统计，不能代替专业审计；仅在自己或获明确授权的系统中用非敏感样例测试。

八项上线检查

1. 密钥：检查仓库、浏览器产物、构建日志和错误响应，私密凭据由适当服务端组件读取。
2. 依赖：按技术栈扫描，评估适用性并验证修复，不盲目升级造成运行故障。
3. 查询：使用参数化查询；ORM中的原始SQL与动态排序字段仍需审查。
4. 认证：管理和数据接口验证会话，不依赖复杂网址。
5. 授权：每次请求检查角色、对象及共享规则，前端隐藏按钮不是授权。
6. 上传：限制类型、大小、存储和读取权限，避免上传文件作为代码执行。
7. 滥用：按端点、账号和成本设限流配额，同时验证正常用户不被共享计数器误伤。
8. 跨域：按业务设置来源和凭据；CORS不是认证，也不阻止所有非浏览器请求。

用反例验证权限

分别验证游客、不同账号和角色的读写。对对象ID、文件与后台动作做获准反向测试，确认拒绝在服务端发生。OWASP建议最小权限、默认拒绝与每次请求授权检查。

修复后复测

保存位置、风险、版本和正反用例。AI审阅与依赖扫描不能保证没有业务漏洞；涉及支付、身份及高敏感数据需更严格复核。日志先脱敏，避免审计自身泄露。另见密钥安全。

要点与资料来源

AI生成代码与人工代码一样需要上线安全检查：密钥、依赖、参数化查询、认证和对象授权、上传、限流及跨域配置。权限必须在服务端按每次请求判断；隐藏按钮和CORS都不是授权。以正反用例复测修复结果，清单不等于完整安全审计。

• OWASP 建议默认拒绝、最小权限并在每个请求检查授权。
• 参数化查询是OWASP列出的SQL注入防护方法，ORM原始拼接仍需审查。
• 前端隐藏控件不能代替服务端对象级授权。
• 依赖扫描与AI审阅不能保证不存在业务逻辑漏洞。

来源与核验范围

• OWASP：授权检查：2026-10-01 公开资料核对；仅支持本页明确归属的规则或功能，不代表本账号订单、独立性能测试或退款/恢复保证。
• OWASP：SQL 注入防护：2026-10-01 公开资料核对；仅支持本页明确归属的规则或功能，不代表本账号订单、独立性能测试或退款/恢复保证。

编辑：折腾鸭编辑部。2026-10-01 公开资料整理；没有替读者下单、做退款/恢复模拟或独立性能审计。