安全自查工具：把「应该没事」变成可验证的清单

安全自查的顺序是：知道有什么 → 知道哪些对外开放 → 知道哪些版本有已知问题 → 再决定修什么。这份清单按这个顺序选品，避免一上来就买扫描器却不知道扫什么。

本期入选（7）

• personal-security-checklist · 深度导读卡 ¥2.9NOASSERTION · TypeScript · ★22.7k

  先有可勾选的清单，后续所有工具才有落点。

• awesome-privacy · 项目速写 ¥2.9CC0-1.0 · TypeScript · ★20.2k

  隐私与账号安全的横向参考，用来补齐你自己没想到的暴露面。

• nuclei · 深度导读卡 ¥2.9MIT · Go · ★32.6k

  模板化漏洞扫描，适合在授权范围内对自有资产做回归检查。

• SafeLine · 深度导读卡 ¥2.9GPL-3.0 · Go · ★23.2k

  WAF 层收敛公开入口，先挡住常见自动化攻击，再谈深度检测。

• caddy · 深度导读卡 ¥3.9Apache-2.0 · Go · ★78.7k

  自动证书与反向代理，减少「忘了续证书」这类低级暴露。

• dns-blocklists · 深度导读卡 ¥2.9GPL-3.0 · Text · ★28.2k

  出口侧拦截清单，用于降低终端被恶意域名带偏的概率。

• Ciphey · 深度导读卡 ¥2.9MIT · Rust · ★21.7k

  编码与简单加密识别，适合分析可疑样本而不是直接执行。

授权边界先写清

扫描只对自己拥有或书面授权的资产执行。把范围、时间窗、联系人写进文档，避免误伤第三方。

先收敛再做深度检测

关闭不用的端口、把管理后台放到内网、统一证书管理，这些动作的收益通常高于新增一套检测系统。

告警要能排序

按「可利用性 × 资产重要性」排序，并保留处理记录。没有排序规则的扫描结果，最终会变成没人看的列表。

常见坑

常见坑：把扫描器当保险、忽略依赖漏洞、只查外网不查内网、发现问题后直接删日志。

替代方案

资产很少时，手工清单加定期依赖升级可能比引入扫描平台更有效；工具的价值在覆盖面与回归效率。