01Why / 为什么需要
能运行，不等于能交付
01 / 能演示
演示能过，代码不一定能维护
AI 生成、外包赶工、原团队离开，都会留下难接手的代码。看一遍源码，比看十次演示更接近真实。
02 / 有密钥
密钥、依赖、配置最容易漏
硬编码密钥、过期高危依赖、调试开关、默认口令，通常不会在演示里暴露，但会在上线后出事。
03 / 要付尾款
尾款前，需要一个拒付依据
报告把问题分成 P1–P4，标注是否阻塞验收、对应哪条合同/需求，方便你和乙方谈整改。
02Scope / 检查什么
四类检查，一份人能看懂的报告
01 / SAST
源码静态检查
常见注入、越权、敏感信息、危险函数、认证与会话问题；按语言和框架选规则。
02 / SCA
依赖与配置
第三方依赖已知漏洞、过期版本、容器/服务器配置基线、调试与默认配置。
03 / Secret
密钥与敏感信息
代码、配置、历史提交中的 API Key、数据库口令、云账号、证书；只保留脱敏证据。
04 / Review
人工复核与判决
工具结果去误报，按验收场景分级；结论只有三档：可结项 / 有条件结项 / 拒收。
03Delivery / 交付
你会拿到什么
报告内容
- 授权范围、扫描时点、commit、工具版本；
- P1–P4 问题清单：位置、证据、影响；
- 是否阻塞验收、修复优先级、建议；
- 三档结论：可结项 / 有条件 / 拒收；
- 误报/漏报与责任边界声明。
你需要准备
- 代码仓库或压缩包（只读权限即可）；
- 技术栈、部署方式、可运行说明；
- 合同/需求中的验收条款（可选）；
- 书面授权：你有权委托检查这份代码；
- 不需要提供生产数据库或用户数据。
05Boundary / 边界
我们做什么，不做什么
做：授权代码的静态检查、依赖/配置/密钥检查、人工复核、中文报告、验收判决。
不做：未授权扫描、黑盒渗透、攻击演练、等保测评、合规认证、代码修复、绝对安全承诺。
隐私：隔离环境扫描，完成后删除源码，只保留脱敏问题摘要；可签 NDA。
不做：未授权扫描、黑盒渗透、攻击演练、等保测评、合规认证、代码修复、绝对安全承诺。
隐私：隔离环境扫描，完成后删除源码，只保留脱敏问题摘要；可签 NDA。
先看代码，再付尾款
微信聊项目 →发一句项目阶段和代码范围，先判断适不适合做体检。