分别验证许可证与行为
开源许可证规定查看与使用代码的条件，但不证明安全或隐私。应一起检查仓库许可证、生产依赖、版本与锁文件。
运行时 CDN 脚本、封闭 API 或未披露遥测都会限制设备端声明。
- 阅读 LICENSE 与包清单。
- 把生产依赖与锁文件对应。
- 搜索动态脚本与网络端点。
观察浏览器边界
用代表性输入打开 Network 面板，把正常页面资源与工具操作产生的请求区分开，确认输入不进入 URL、请求体、错误报告或分析事件。
CSP 能减少意外连接但不能修复错误逻辑。还应检查 Service Worker 缓存、localStorage 与 IndexedDB：未上传不等于从未本地保存。
完成证据链
类型检查、Lint 与单元测试还需配合浏览器测试，验证移动端、键盘、交互与元数据。干净的启发式扫描或哈希并不是安全批准。
报告应包含版本、路径、可复现步骤与预期行为，绝不包含真实秘密或个人数据。
行动计划
把指南转化为安全试用流程
使用真实资料前，请先在SHA-256 摘要生成器中用合成数据试做《如何安全审计开源浏览器工具》的步骤。勾选状态只保留在当前标签页。
0%0/3 已完成
把指南转化为可重复的检查流程
请使用这套包含 3 个工具的检查计划来落实《如何安全审计开源浏览器工具》。目标：从许可证、设备端行为、网络边界与测试证据审查浏览器工具的实践指南。 请先用安全示例代替真实数据，并记录每一步的预期结果与验收决定。
SHA-256 摘要生成器
- 准备
- 您有权检查的、已合成或最小化的代码、配置、标识符或文件内容处理敏感真实数据前，请先用合成示例确认格式。
- 执行
- 运行设备端处理。内容不会执行；只应用可解释的静态模式和受限的浏览器操作。
- 验收检查
- 验收检查：在源位置人工复核，并使用适当的专业安全工具或授权流程独立验证这只是预检查，不保证身份、安全或法规合规。
- 预期输出
- 证据位置、严重程度、误报可能性和下一步核验操作. 使用 Web Crypto 在本地计算文本的 SHA-256。
代码安全预扫描
- 准备
- 您有权检查的、已合成或最小化的代码、配置、标识符或文件内容处理敏感真实数据前，请先用合成示例确认格式。
- 执行
- 运行设备端处理。内容不会执行；只应用可解释的静态模式和受限的浏览器操作。
- 验收检查
- 验收检查：在源位置人工复核，并使用适当的专业安全工具或授权流程独立验证代码不会执行；未发现问题并不能证明不存在漏洞。
- 预期输出
- 证据位置、严重程度、误报可能性和下一步核验操作. 查找源代码中的危险 API、硬编码密钥和不安全模式。
HTTP 安全响应头审计器
- 准备
- 工具要求的 URL、HTTP 标头、cURL 命令、API 定义或 Web 配置处理敏感真实数据前，请先用合成示例确认格式。
- 执行
- 运行设备端处理。输入在不发起网络请求的情况下解析，并分别显示组成部分和高风险假设。
- 验收检查
- 验收检查：在获授权的测试环境中，与现行标准和真实服务器行为进行比较代码不会执行；未发现问题并不能证明不存在漏洞。
- 预期输出
- 规范化的 Web 配置、组件清单和可执行的复核提示. 检查粘贴的响应头中的 CSP、HSTS、nosniff、Referrer 与权限策略。
SHA-256 摘要生成器适用以下边界：这只是预检查，不保证身份、安全或法规合规。 如果未满足该条件，请勿把输出传递到工作流的下一步。
落实《如何安全审计开源浏览器工具》时，请记录工具名称、所选设置、浏览器版本，以及“使用SHA-256 摘要生成器完成：使用 Web Crypto 在本地计算文本的 SHA-256”的接受或拒绝理由，而不是敏感内容。这样既能重复检查，也不会复制真实数据。