AI 分析
痛点：AI/vibe-coding 生成的应用容易把 API key、token 直接打进前端 JS bundle（VITE_、NEXT_PUBLIC_ 前缀），上线即泄露密钥。
目标用户：用 Lovable、Bolt、Cursor、Claude Code 快速上线的独立开发者、副业项目作者和小型 SaaS 团队。
证据：I kept seeing posts here and on X about AI built apps that work fine but ship secrets straight to the browser. Keys behind VITE_ or NEXT_PUBLIC_, tokens sitting in the JS bundle, that kind of thing. ... It's free to scan here: preflightx.io ... Would really like honest feedback, especially from anyone who shipped with Lovable, Bolt, Cursor or Claude Code.
变现：免费单次 URL 扫描做获客钩子，付费层卖持续监控（每日/每次部署自动重扫）+ CI/CD 集成（GitHub Action/GitLab）+ Slack/邮件告警 + 团队多项目管理，定价 $9–29/月。后续可扩展为「vibe coding 安全合规报告」供接客户项目时提交。
MVP：2 周 MVP：输入线上 URL → 抓取 index.html 与打包后的 JS → 用正则 + 熵值检测识别常见密钥指纹（OpenAI sk-、Supabase、Stripe、Firebase、AWS、VITE_/NEXT_PUBLIC_ 变量名）→ 输出带修复建议的风险报告并邮件发送；再加一个 GitHub Action，在每次 push 后自动扫描并在 PR 里评论。
竞品：GitGuardian、TruffleHog、gitleaks、Secretlint、Detectify
摘要：一位斯洛伐克电工用 Claude Code 做出了 PreflightX：粘贴线上 URL 即可扫描公开 HTML/JS 中疑似泄露的密钥，定位是「上线前后的快速首检」而非完整安全审计，目前完全免费。痛点真实（VITE_/NEXT_PUBLIC_ 变量和 token 被打进前端 bundle 是 vibe coding 应用的常见事故），单人即可复刻，但帖子本身没有出现付费意愿或收入数据，且已有 GitGuardian、TruffleHog 等成熟竞品，机会主要在「面向 AI 建站人群的低门槛+持续监控订阅」这一细分切口。