上线前检查：25 项页面背后

vibe coding 做完的网站，上线前让 Opus 5.5 派 5 个 subagent 分头把页面背后这 25 件事查一遍，再一次修好：

密钥和权限
- OpenAI key、Stripe secret key 这类私密的 key 只放服务端；前端文件和 git 历史里都搜一遍，出现过的全部换新
- 每个接口都在服务端查登录和权限，用户填的东西也在服务端再校验一遍
- 数据库开 RLS 或写好安全规则，用户只能读写自己的数据
- 存用户上传文件的 bucket 别设成公开，用带过期时间的链接给出去
- 登录用的 cookie 设上 HttpOnly 和 Secure
- 日志里不记密码、token 和 API key

别被刷爆账单
- AI、短信、邮件这些按量收费的服务，后台设好花费上限或告警
- 注册、登录、发验证码的接口加限流，调 AI 按用户每天限次数
- 上传文件限制大小和类型
- 注册页加人机验证，免费额度等邮箱验证后再给

收钱的地方
- 支付回调先验签名
- 同一笔付款回调两次，只记一次
- 金额只认服务端算的，不信页面传来的
- 在测试模式里把退款、取消订阅、扣款失败各走一遍，状态对得上
- 试用结束、订阅到期，权限按时收回

出事的时候
- 接上错误监控，出错时你第一个收到通知
- 数据库每天自动备份，拿备份恢复到一个新库试一次
- 定时任务跑失败也要通知你，别等用户发现数据没更新
- 接一个外部在线监控，网站挂了马上通知你
- 后台能一键封掉刷接口的账号

上线当天
- 关掉调试模式，删掉测试账号和测试数据
- 支付从测试切到正式，正式的 key 和 webhook 签名密钥重新配一遍
- Stripe、部署平台、数据库后台这些账号都开两步验证
- 域名开自动续费，HTTPS 证书自动续期
- 依赖包跑一遍安全检查（比如 npm audit），有已知漏洞的先升级

effort 照 Anthropic 的成本指南定。这类范围清楚的检查用默认的 medium 就够，密钥和收钱两组出错代价大，单独调到 high。Thariq 测过，调高 effort 换来的主要是更多验证和边界测试。

把这整条发给 Claude Code，需要的话，最后再加上这句 👇
「每一组派一个 subagent 去查，只查不改，每个问题写清在哪个文件或哪个后台；密钥和收钱这两组的 subagent 调到 high effort。查到的密钥只报位置，别把值贴出来。主会话照它们的清单统一修，免得两个人改同一个文件。换密钥、开两步验证、设花费上限这些要去后台做的，给我步骤，我自己去做；上限设多少、每天限几次，先问我，别自己编。别改 git 历史，别动线上数据库，支付只在测试模式里试。先给我问题清单，我确认后再动手，修完告诉我改了什么、还剩哪几件要我自己做。」