指南
用大白话讲清 AppSafe 检测的每个问题——它是什么、为什么重要，以及具体怎么修复。
阻止被注入脚本运行的那个响应头。
强制每一次连接都使用 HTTPS——包括第一次。
一个响应头就能阻止攻击者把你的应用叠加进 iframe。
一个响应头可防止浏览器猜测内容类型并将上传的文件作为脚本执行。
一个可被访问的 .env 就能拱手交出你的整个技术栈。
放行所有源，任何网站都能读取你的 API。
发布出去的 .map 文件会拱手交出你的原始源代码。
可访问的 /.git 会交出你的整个代码库和提交历史。
一个可访问的 .sql 转储文件就等于把整个数据库拱手相让。
你打包文件里的任何东西都是公开的。请照此对待。
一条悬空的 CNAME 就是你域名上一扇敞开的门。
阻止攻击者冒充你向全世界发邮件。
让会话 cookie 不被窃取的三个标志。
别让那扇不安全的门一直敞开着。
你的 anon key 是公开的。RLS 是它与你的数据之间唯一的屏障。
你的 Firebase 配置本就是公开的。由规则决定谁能看到数据。
会列出自身内容的文件服务器等于免费给攻击者一份清单。
堆栈跟踪会告诉攻击者究竟该瞄准哪里。
一次查询就能返回你的整个 schema。请在生产环境中关闭它。
列出TRACE或DELETE的OPTIONS响应泄露了过多信息。
免费扫描，几秒内获得带修复建议的评级报告。