Burnproof

嗨，Product Hunt，我是 Jordan 👋

AI 编程智能体很擅长快速让演示应用跑起来。其中一种做法，就是直接把 OpenAI 或 Gemini 密钥写进前端代码。这样一来，密钥就会随代码发布到每位访客的浏览器中。任何打开 DevTools 的人，或抓取公开页面的机器人，都可以复制该密钥，而费用会由你承担，不是他们。已有公开案例显示，Gemini 账单金额达到五位数，正是从这种方式开始的。

我打造了 Burnproof，专门应对你在分享链接前的关键时刻——无论是发布到 Product Hunt、Reddit，还是发给客户。粘贴应用的实时 URL，它就会：

🔑 检查 HTML 和同源脚本中是否包含 OpenAI、Anthropic、Gemini、Stripe 密钥、AWS 密钥和 Supabase service_role 密钥，并对其进行脱敏（仅显示前 4 位/后 4 位）

📂 检查 /.env 和 /.git/config 是否可被服务器公开访问

🗄️ 使用 Supabase anon 密钥，报告哪些数据表无需登录即可响应（仅提供表名和行数，绝不展示具体数据行）

🧱 标记缺失的安全响应头

🛠️ 给出账单风险评分，并为每个问题生成修复提示词，你可以将其粘贴回 Cursor、Lovable、Bolt、v0 或 Replit

它有意采用只读模式。它绝不会调用发现的密钥、登录系统、提交表单或写入数据。这让它可以安全运行，但也意味着它可能漏掉需要登录的深度测试才能发现的问题。评分满分并不代表绝对安全，这一点我想提前说明。

免费扫描会展示全部检测结果，不会将任何内容藏在付费墙后。如果需要更多功能，可以选择一次性付费 24 美元的 Launch Check（一份逐步 launch 检查清单），以及每月 12 美元的 Monitor。后者大约每周重新扫描最多 3 个应用，并在发现新问题时给你发送邮件。这个套餐尤其适合代理商和自由职业者。客户的应用只要泄露一个密钥，就足够让你很难向对方交代了。

手头没有应用可测？burnproof.dev/sample 提供了一份针对特意植入虚假密钥的页面的检测报告。

完整披露：我经营着 NextPlay Solutions，我所监管的 AI 智能体承担了 Burnproof 大量的日常工作。今天在这里回答问题的是我本人。

我最希望得到你的反馈：误报、它遗漏的密钥格式，以及报告中任何令人困惑的地方。请仅扫描你拥有或已获得测试许可的应用。