開發工程 · Security Reviewer
網站與程式碼安全健檢
幫網站做安全體檢，找出會出事的地方
網站是外包做的，被駭了你也不會第一時間知道；等到盜刷、客戶名單外流才發現，通常已經來不及。
這是什麼
security-reviewer 讓 AI 幫你檢查網站或系統的程式碼安全問題。它先跑自動掃描工具找出常見漏洞和寫死在程式裡的密碼金鑰，再逐段細看登入、權限、金流這些要害，最後產出一份分級報告：哪個檔案第幾行、會造成什麼後果、該怎麼修。不管是上線前自檢還是被駭之後找破口，你不必看懂程式碼，直接把報告轉給工程師或外包廠商。
- 自動掃描程式碼，找出 SQL 注入、跨站腳本與可疑後門程式碼
- 揪出被寫死在檔案裡的 API 金鑰、資料庫密碼與後台帳密
- 檢查會員登入與權限判斷，看別人能不能翻到你的訂單資料
- 盤點套件與外掛清單，指出哪些舊版本已知有風險
- 每條問題標上嚴重程度、檔案位置與具體修法，排出先修哪個
- 產出可直接交給外包廠商或企業客戶的中文安全報告
什麼時候用得上
接手外包做的網站
三年前外包做的 WordPress 官網加購物車，人早就聯絡不上，你手上只有一包程式碼。讓 AI 掃一遍就知道：後台有沒有被植入後門木馬、金流密鑰是不是明碼寫在檔案裡、有沒有人改個網址就看得到別人的訂單。拿這份清單去找新工程師報價，對方也清楚該修什麼、要花多少錢。
新站上線前檢查
新的品牌官網要接綠界或藍新金流，開站前想確認不會出包。讓 AI 針對付款流程、訂單查詢頁、會員資料頁做重點檢查，尤其是「換一個訂單編號就看得到別人資料」這種最要命的洞，順便確認 HTTPS 憑證設定沒問題。上線前修掉，比開賣後被客戶截圖貼社群才發現便宜太多。
客戶要資安文件
接了企業客戶的案子，對方採購流程要一份資安檢核說明；或要串接第三方 API，平台方要你證明金鑰沒有外流。讓 AI 依 OWASP Top 10 的架構產出檢核報告，含發現項目、嚴重程度統計與修補紀錄，格式跟外部資安顧問的報告一致。自己先做一輪再送，省一筆初步費用。
怎麼用
- 01
把程式碼放到同一個資料夾
不管是外包廠商給你的壓縮檔、從 GitHub 抓下來的專案，還是從主機下載回來的整包檔案，先解壓縮到桌面一個資料夾，然後在那個資料夾裡開啟 Claude Code。AI 要看得到檔案才能檢查，光給你的網站網址是不夠的。
- 02
說明這是你的專案再開始
開口時講清楚這是你自己或你客戶的專案、你有權限檢查。這一步不能省，因為這個技能被設計成沒有確認授權就不會進行主動測試；講明白了它才會完整跑完掃描與人工複查。
- 03
先處理嚴重程度最高的
報告會分成 Critical、High、Medium、Low 四級。時間有限就先解決 Critical 和 High，尤其是牽涉到金流、會員個資、後台登入的項目。剩下的可以排進下一次改版，不必一次修完才敢上線。
- 04
修完再掃一次留紀錄
每條問題都附了檔案位置和建議修法，直接把報告轉給工程師或外包廠商即可。修完之後讓 AI 重掃同一個資料夾，確認問題真的消失，同時也留下一份修補前後的對照紀錄，之後客戶稽核用得到。
實際對話長這樣
這是我們公司官網的程式碼，我是負責人、有權限檢查。幫我做一次安全健檢，重點看金流跟會員資料那塊，最後給我一份中文報告，照嚴重程度排序。
AI 會先掃過整包檔案，認出用了什麼框架與套件，接著跑漏洞與金鑰掃描，再細看登入、訂單查詢與付款回呼這幾段。報告開頭是一段給老闆看的總結（例如：2 個高風險、7 個中風險），後面是逐條說明，像是「訂單查詢頁沒有驗證身分，改網址上的編號就看得到別人的姓名、電話與地址，位置在 order/detail.php 第 58 行，建議加上會員比對」。
幾個實用技巧
- 掃描工具（semgrep、gitleaks 等）要另外安裝才會跑；沒裝的話 AI 會改用關鍵字逐檔比對，慢一點但一樣找得到東西。
- 只能檢查你自己或有書面授權的專案。掃別人的網站不但這個技能會拒絕，在台灣也可能觸犯刑法妨害電腦使用罪。
- 報告裡的漏洞細節等於一份攻擊說明書，修好之前只在內部流通，不要貼到公開社群或客戶群組。