01
注册后提交仓库或压缩包，并确认你拥有或已获授权审计这份代码。
02
选择 quick、standard 或 deep。页面会显示排队、运行、阶段和用量。
03
完成后在浏览器里看报告，或把全部输出下载成 zip。源代码会在结束后删除。
审查覆盖常见的代码安全类别。深度越高，覆盖越细，但不能把下面的列表当成完整清单。
把不可信输入送进查询、命令、模板或路径。
缺少归属校验、越权读取，或会话使用不当。
危险依赖、安装脚本，以及构建期被带进来的代码。
硬编码凭据、过宽的云权限，以及公开的管理入口。
跨站脚本、开放重定向，以及在前端存放不该公开的数据。
一个用户或租户能碰到另一个用户的记录。
提出问题的代理不负责宣布它成立。另一条独立的复核会对照代码，把结论分成已确认、待验证或否定。
沿入口、数据流和危险的汇点寻找候选问题。
换一个代理，只根据代码决定保留、降级或否定。
时间为估计，取决于仓库大小和模型速度。
大约 15–25 分钟
小仓库或先看一眼。一轮猎取，一轮复核。
大约 45–90 分钟
默认的完整流程。
大约 2–4 小时
更大或更重要的目标，覆盖更细，复核更多。
任务进入完成、失败或取消后，TrustTrace 会删除仓库副本和上传的压缩包，只保留报告、日志和用量。
REPORT.md、FINDINGS-DETAIL.md、NEEDS-VALIDATION.md，以及 findings.json 的摘要表：已确认、待验证和严重级别。
不会把目标程序拿到沙箱外执行。这是静态审查，代理只读代码并写报告。
任务完成、失败或取消后，仓库副本和上传的 zip 会被删除。报告、日志和用量记录会留下。
不是。TrustTrace 使用 Cloudflare 以 MIT 许可开源的 security-audit 技能，与 Cloudflare 没有关联，也未获其认可。
不能。它是一次有时间上限的静态审查，漏报和误报都可能发生。待验证的条目需要你自己确认。
TrustTrace 与 Cloudflare 无任何关联，亦未获得其认可或背书。审计报告不能保证发现全部漏洞。