安全

Security 会读取你应用的代码，查找漏洞和有风险的设置：打开 Manage，然后打开 Security。

两种扫描

每种扫描都要花积分，价格写在它的按钮旁边，同时标出上次运行的时间。点击概览上的 Security 磁贴，如果还没有运行过扫描，就会启动一次快速扫描，并花费相应的积分。Out of date 表示代码在那之后发生了变化。如果自上次扫描以来代码和背景信息都没有变化，页面会这样告诉你。

快速扫描上的 Scan on publish 会在每次改动了代码的发布之后自动运行它，价格相同。它默认关闭，直到你打开。Publish 窗口里有同样的开关。参见发布到网络。

它发现了什么

Detected issues 会列出每个问题，包括它有多严重、在哪里，以及该怎么做。

• Send to chat to fix 会把修复内容放进聊天，供你阅读后发送。Fix all in chat 会一次性对每个问题这样做。
• 当某个问题是一个任何人都能读取的集合时，Require sign-in 或 Close to your team 可以当场把它关闭，不需要修改代码。参见谁可以看到什么。
• 修复之后，会重新检查这些问题，列表会告诉你哪些已经消失，哪些仍然存在。

“No issues found”表示扫描没有发现任何问题。它读取代码是为了查找常见的错误，所以不能排除所有风险。

添加背景信息

扫描器只了解代码。右上角的 Add context 会告诉它代码无法说明的内容：这个应用是做什么的、谁在使用、保存了哪些数据，以及哪些是有意为之。

A shop for a bakery. Customers order without an account. We store names,
phone numbers and addresses for delivery. The menu and prices are public on purpose.

有了这些，公开的菜单就不会被报告为泄露，而带地址的订单会被当作它们本来就是的私密数据来检查。

库

React、Supabase 以及每个应用都在使用的其他库由 Setherion 维护，并在每次发布时检查是否有已知的安全问题。你不需要更新任何东西。卡片上显示 No known issues 以及上次检查的日期。

始终开启

有些保护不需要等待扫描：

• 写进应用代码里的密钥永远不会被发布。无论扫描怎么说，发布都会被拒绝，而且不收费，提示信息会指出密钥的类型以及文件和行号。它能识别常见的 AI、支付、邮件、消息和代码托管服务的密钥、私钥，以及 Supabase 项目的管理员密钥。本来就设计为公开的密钥，比如 Supabase 的 anon key 或 Stripe 的可公开密钥，则不会被拦截。
• 已连接服务的密钥保存在 Setherion 的服务器上，已发布的应用通过 Setherion 来调用这些服务。
• 一条记录只有保存它的人和你的团队才能读取，直到你在访问规则下把它开放。
• 每一次构建和修改在你看到之前，都会先在后台打开检查，如果崩溃就会被送回修复。参见上线之前。
• 在 Business 上，应用可以设为私有，这样只有来自你工作区的已登录用户才能打开它。参见可见性。
• 如果应用发出的邮件有很多被退回或被标为垃圾邮件，这些邮件会自动停止发送。参见邮件。