sigship

AI 构建应用的上线准入检查。
在服务中断前，先做事后复盘。

---

SIGSHIP 会在你自己的机器上读取代码仓库，并列出上线后可能出问题的地方：泄露的密钥、开放的数据库、未经验证的 Webhook、没有支出限制的 AI 路由。只有在未发现严重问题时，它才会以 0 退出，从而为你和编码 Agent 提供真正的完成标准。

npx sigship

无需注册、没有遥测、没有运行时依赖。免费工具绝不会访问网络。

目录

• 你将获得什么
• 快速开始
• 命令
• 拉取请求
• 编码 Agent（MCP）
• 检查内容
• 隐私
• SIGSHIP Cloud 和许可证密钥
• 限制
• 贡献与安全

你将获得什么

SIGSHIP read 6 files in 22 ms, ran 17 checks

Postmortem, written before the outage. Worst first.

SEV-1  Your Stripe webhook accepts anything
       src/api/stripe-webhook.ts:3  Handles Stripe events with no signature check in this file.
       Someone posts a fake "payment succeeded" event to your endpoint and
       gets your paid plan for free.

SEV-2  Your AI route has no spending brake
       src/api/chat.ts:2  This route calls a paid AI API and the project has no rate limiter.
       One script loops on this endpoint overnight and you wake up to the invoice.

NO-GO  1 SEV-1, 1 SEV-2, 0 SEV-3. Exit 1.
Paste the fixes into your AI tool: npx sigship --prompt

退出代码	含义
0	可以上线。 未发现 SEV-1 或 SEV-2 问题。
1	不可以上线。 有问题阻碍发布。
2	SIGSHIP 无法运行，例如文件夹不存在。

“可以上线”表示这些检查未发现阻碍发布的问题，但不能证明应用安全。

快速开始

需要 Node.js 22 或更高版本。

npx sigship                 # check the current folder
npx sigship path/to/app     # check another folder
npx sigship --prompt        # turn every fix into one prompt for Lovable, Cursor, Bolt or Claude Code
npx sigship ui              # open the same results as a dashboard in your browser

命令

命令	功能
npx sigship [folder]	检查项目并输出事后复盘。
npx sigship ui [folder]	打开本地仪表板：查看判定结果和问题，使用复制修复提示词按钮，并重新运行检查。
npx sigship init [folder]	添加拉取请求检查，并在 AGENTS.md 中加入完成标准。
npx sigship mcp	启动供编码 Agent 使用的 MCP 服务。

选项	功能
--prompt	将修复内容作为一个提示词输出，供 AI 工具使用。
--json	将结果以 JSON 格式输出。
--markdown	将结果以 Markdown 格式输出，用于拉取请求评论。
--strict	同时将 SEV-3 问题视为阻碍。
--report	同时为客户端生成 sigship-report.html。需要许可证密钥。
--no-open	与 ui 一起使用时，输出仪表板链接但不打开浏览器。
--version、--help	输出版本或帮助信息。

仪表板仅监听 127.0.0.1，只响应它输出的专用链接，并提供问题信息，而非文件内容。按 Ctrl+C 停止。

拉取请求

npx sigship init

会添加 .github/workflows/sigship.yml，如果拉取请求引入了 SEV-1 或 SEV-2 问题，就会导致检查失败；还会在 AGENTS.md 中加入完成标准，要求编码 Agent 在宣布完成前运行 SIGSHIP。它绝不会覆盖已有文件。

编码 Agent（MCP）

Claude Code：

claude mcp add sigship -- npx -y sigship mcp

Cursor，配置位于 .cursor/mcp.json：

{ "mcpServers": { "sigship": { "command": "npx", "args": ["-y", "sigship", "mcp"] } } }

Agent 会获得两个工具：sigship_check 和 sigship_explain，以及一条指令：判定结果为 NO-GO 时，不要宣称任务已完成。SIGSHIP 在 MCP Registry 中列为 io.github.sigship/sigship。

检查内容

共 17 项检查，针对 AI 构建的应用实际会遇到的问题。每项检查都链接到一个页面，介绍问题及其修复方法。

SEV-1：阻止上线、泄露数据或造成资金损失 代码中存在有效密钥 · 已提交的 .env · 使用浏览器可见名称的服务端密钥 · 浏览器中的 AI 密钥 · 未启用行级安全策略的表 · 允许任何人写入的策略 · 未经验证的 Stripe webhook · SQL 中的用户输入

SEV-2：阻止上线，容易遭到滥用 未设置速率限制的 AI 路由 · localStorage 中的管理员角色 · 未经清理的 HTML

SEV-3：报告问题，仅在使用 --strict 时阻止上线 通配符 CORS · 日志中的密钥 · 缺少错误边界 · 未设置错误跟踪 · 没有测试 · 没有锁文件

隐私

• 免费工具、仪表板和 MCP 服务完全在你的计算机上运行，不会发起网络请求，也没有遥测功能。
• SIGSHIP 不会以任何输出格式打印密钥值。
• 仅当你提供许可证密钥时，SIGSHIP 才会将该密钥和单向仓库指纹发送到 api.sigship.dev。它绝不会发送代码、文件名或检查结果。

详情请见：sigship.dev/privacy。

SIGSHIP Cloud 和许可证密钥

SIGSHIP Cloud 即将推出：连接来自 GitHub、Lovable、Bolt、Replit 和其他 AI 工具的仓库，SIGSHIP 会检查每次推送、监控你的线上网站，并用通俗易懂的语言告诉你需要修复什么。套餐分为 Solo（$19）、Team（$59）和 Agency（$149）每月。加入候补名单。

如果你已有许可证密钥，请设置该密钥以启用包含额外检查的 Pro 套件：

SIGSHIP_KEY=your-key npx sigship            # free checks plus the Pro pack
SIGSHIP_KEY=your-key npx sigship --report   # also write a client-ready HTML report
npx sigship init --pro                      # pull request comments and a nightly check

要启用每晚检查和拉取请求评论，请将密钥添加为仓库机密 SIGSHIP_KEY；你还可以选择添加 SLACK_WEBHOOK_URL，以接收 Slack 提醒。如果无法连接许可证服务器，SIGSHIP 会使用上次下载的 Pro 套件，或使用免费检查。网络问题绝不会导致扫描失败。

限制

• SIGSHIP 使用模式检查。它可能漏掉真实问题，也可能将安全代码标记为有问题。
• 它会读取你的仓库，因此无法看到仅在仪表板中更改的设置，例如在 Supabase 网页控制台中创建的策略。
• 检查结果为 GO 并不代表通过了安全审计。如需人工审查，请参见试点审查。

贡献与安全

• 发现误报或漏掉的问题？提交 issue。
• 想要添加检查或修复错误？请参见 CONTRIBUTING.md。
• 发现 SIGSHIP 本身存在安全问题？请遵循 SECURITY.md，不要公开提交 issue。

许可证

MIT © Zoof04 Inc. · sigship.dev · [email protected]