Hachi 像攻击者一样从外部测试你的应用，再到代码和数据库里找到原因，最后把修复交给你的 AI 编程工具。
免费体检（被动）
只读取任何访客都能看到的页面、脚本和 source map，找出暴露的私密密钥和后端配置。不登录、不调用你的接口、不读取你的数据，所以不需要任何授权。
主动实测（需要验证域名）
用你的应用公开发布的密钥（Supabase anon key、Firebase 配置）测试别人能读到什么：只统计行数和列名，从不下载行内容。还会检查不该公开的文件、调试页面、安全响应头和跨域设置。
所有主动请求只发往你验证过的域名，只用 GET，频率很低。注册测试账号是写操作，默认关闭，需要你在项目里单独开启。
代码与数据库审计（需要连接）
通过 GitHub App 只读地下载仓库，在一次性沙箱里分析：哪些接口没有登录检查、哪些可以越权、哪些会不登录就调用付费 API，以及提交过的密钥（含 git 历史）、有漏洞或可疑的依赖、Firebase 安全规则。
数据库审计用你创建的只读审计角色读取系统目录（RLS 策略、函数、视图），读不到任何表内容。
已证实与理论风险
「已实测证实」表示我们从外部发出请求、拿到了证据。「理论风险」是读代码或配置得出的结论，还没有被实测证明，默认折叠显示，严重度也会降低。