VIBE CODED.
VIBE HARDENED.®

主指令。掃完給 0–100 分配 A–F 等級。74 條規則涵蓋硬寫的金鑰、SQL injection、缺驗證的路由、CORS、Supabase RLS、eval(req.body)、localStorage 存 token、bcrypt 弱 rounds、被 LLM 幻想出來的 npm 套件。

只掃 git diff 變動的檔案。不加 ref 是跟 HEAD 比；加 origin/main 這種 ref 走 3-dot diff，PR 模式 CI 用。大 repo 快 10 倍。

掃到的金鑰真的拿去打對應 provider API。9 家支援。告訴你還活著還是已撤銷。--own 是安全帶，沒加就拒絕去探不是你的金鑰。

印複製貼上的 diff，把硬寫的 key 換成 process.env.X，附 .env.example 範本。只影響 console，絕對不會改你的檔案。

毒舌模式。中性訊息換成一句話。只影響 console，JSON / HTML 產出維持專業給 CI 用。

每條規則的詳細說明：嚴重度、抓什麼、為什麼重要、怎麼修。每條 ship 出去的 rule 都涵蓋。把文件塞回 terminal，不用開瀏覽器。

吐一個 SVG 出來。貼在 README 顯示這個 repo 的安全分數。配定期 CI 跑就會自動更新。

針對 v0 匯出、Cursor 循環、Lovable scaffold、Bolt 骨架、Claude Code diff 手動調校過的規則。知道它們各自最常漏掉什麼，也不會挑它們做對的事。

偵測 Next.js、Supabase、tRPC、Prisma、Drizzle、Convex、Vercel、Netlify，只跑適用於你堆疊的規則，一般專案可在 5 秒內掃完。

在 git 歷史裡找出候選密鑰，打去上游 provider 驗證，告訴你哪些還活著。不是 grep — 是一通電話。

0.4.0 新增。靜態掃 Cursor、Claude Code、OpenClaw、Hermes、Gemini CLI、Goose 等 10 個 agent 平台的 skill 檔。抓硬編密鑰、prompt injection、危險 shell、MCP 設定異常—— 在 agent 載入之前。