残留在代码中的凭据
API 密钥、数据库密码直接写在代码里。即使以为已经删掉，git 历史中依然完整保留。
证据 · 工作区 + git 完整历史TECHSCAN · 隔离网络代码风险评估
您公司的代码里，
到底藏着什么？
开源许可证冲突、硬编码的密码、未修补的漏洞——在真实的代码审计中，这些问题大多都会被发现。而且大多数时候，创始人并不知情。
真实代码审计中检出许可证冲突 94% · 未修补漏洞 97% · Black Duck 审计数据
- 源代码零外传
- 隔离网络分析
- 24 小时内出具报告
- 分析后销毁原件
WHEN IT MATTERS
在这些时刻，代码终究会被打开
- 准备融资尽调赶在对方打开之前
- 外包交付验收收到的代码是否靠谱
- 产品上线前检查赶在出事之前
- 出售·大企业供应商审核提前了解驳回理由
- 安全事故发生后是否还有同样的隐患
——等到那时才第一次打开，就已经晚了。
01 — SECURITY RISK
代码里的密码，被遗忘的后门
这些问题在开发过程中自然产生，不刻意去找，就永远不会暴露。
已公开的漏洞
检查是否在使用攻击方法已在网上公开的库版本。一旦出事，就成了“本可以知道”。
证据 · 2 款扫描器交叉验证（Trivy·Grype）危险的代码流程·后门
找出离职人员留下的绕过访问路径，以及未经校验就处理外部输入的位置。
证据 · 精确到文件·行（semgrep）02 — LICENSE RISK
一个开源组件，就可能让公司全部代码面临公开义务
混入核心模块的 GPL·AGPL 会带来源代码公开义务或整体重写。正在运营的服务可能收到许可证违规通知，在大企业供应商审核中成为驳回理由，在投资·并购尽调中成为交易终结因素。
这不是谁犯了错，而是它本来就看不见。往往始于为了需要而引入的一行库依赖，不刻意去找就不会暴露。
Pass · 宽松许可证Fail · 强 Copyleft证据 · 组件 / 许可证 / 文件路径
03 — AI CODING BLIND SPOT
AI 写的代码从何而来，没人知道
生成的代码既不带许可证声明，也不附依赖清单。因此只看软件包清单的传统检查，往往会给出“毫无问题”的干净结果。开发速度变快了，需要确认的东西也随之增加。
16%真实审计中识别出的开源组件里，通过软件包清单以外的途径（直接复制代码·Stack Overflow·AI 代码片段）引入的比例 · Black Duck 审计数据
04 — WHAT YOU GET
您将收到这样一份文档
一页给创始人看的摘要，加上一份开发团队可以直接拿来修复、精确到文件·行的清单。两种语言，放在同一份文档里。
05 — HOW IT WORKS
从上传源代码到修复指南，只需三步
01约 5 分钟
上传源代码
上传 ZIP 文件，或登记只读的 git·svn 仓库。
02
隔离网络全量分析
不对外传输，全量检查 SBOM·许可证·凭据·漏洞·代码流程。 (任何人都无法查看源代码。若因本系统导致源代码泄露，赔偿 100 倍。)
0324 小时内
判定报告
一页给创始人看的摘要，加上一份开发团队直接可用、精确到文件·行的清单，放在同一份文档里。
06 — DATA SOVEREIGNTY
“要我把源代码整个交出去？”
用架构来落实 NDA
不是靠承诺，而是靠结构来防范。源代码只在与外部隔绝的环境中分析，分析结束后按策略自动销毁，销毁记录留存为证据。
外部 LLM 零传输
分析后自动销毁原件 + 销毁证据
按组织隔离访问 · 审计日志
07 — WHY TECHSCAN
检查代码的方法，大致有五种
- 什么都不做
这是最常见的选择。问题暴露的时候，通常是别人打开代码的时候。
- 开发团队自己运行免费扫描器
不同工具结果各异，输出的是给开发人员看的清单，并不能成为创始人阅读和决策的文档。
- 申请公共机构的免费检测
有公共支持项目可免费检测许可证和开源漏洞。但需要将源代码提交给机构，经过申请·审核·排队，拿到结果要数周，而且支持次数和对象都有限制。
- 引入商业安全工具
以年度订阅和按人数计费为前提，还需要 CI 集成和策略配置。适合长期运营，但对于“现在想看一次”来说过于笨重。
- TechScan
按需选择检测范围，按次付费。
不只是许可证，而是整个代码库
除开源许可证外，还一次性检查代码中残留的凭据、git 历史和危险的代码流程。
不是单一工具，而是交叉验证
对比多个工具的结果，校正单一扫描器的误报和漏报。
不只是开发者语言，而是两种语言
给创始人的摘要和给开发团队的证据，放在同一份文档里。
不是仪表盘，而是可提交的文档
每项判定都附有文件·行级证据，报告中留有真伪验证哈希。
08 — TECHSCAN PLANS
检测产品
按需选择检测范围，按次付费。
单项
三项安全检测
消除的风险
发现并阻止代码中残留的密钥、存在漏洞的开源组件和安全缺陷随部署进入生产环境，避免黑客入侵和数据泄露。
- 敏感信息泄露
- 依赖漏洞
- 静态安全分析
首发优惠价 US$149 US$119
申请检测2026年12月4日 截止（韩国时间）
美元最终价格。当地税费由客户承担。
单项
Open Source License Report
消除的风险
提前识别不合规开源许可证带来的法律风险，避免被要求公开源代码或支付赔偿。
- 许可证
- SBOM(SPDX 2.3)
首发优惠价 US$149 US$119
申请检测2026年12月4日 截止（韩国时间）
美元最终价格。当地税费由客户承担。
单项
外包交付物验收
消除的风险
将外包方声称的“已按合同全部交付”与实际代码对照，揭示遗漏、未完成或质量不达标的风险。
- 交付物验收（合同 ↔ 代码比对）
- 敏感信息泄露
- 依赖漏洞
- 静态安全分析
首发优惠价 US$299 US$229
申请检测2026年12月4日 截止（韩国时间）
美元最终价格。当地税费由客户承担。
单项
技术价值与技术债务
消除的风险
量化现有技术的重建成本和隐藏的技术债务，消除资产价值被高估或低估的风险。
- 技术债务
- 重建成本
首发优惠价 US$229 US$179
申请检测2026年12月4日 截止（韩国时间）
美元最终价格。当地税费由客户承担。
套餐
Due Diligence Preparation
消除的风险
在投资或并购尽职调查前核对文档与代码的一致性，避免因“文档与代码不符”而失去信任。
- IR 一致性自查(文档声明 ↔ 代码实测)
- 重建成本
- 技术债务
- 尽职调查准备度摘要
- 案例研究
首发优惠价 US$390 US$299
申请检测2026年12月4日 截止（韩国时间）
美元最终价格。当地税费由客户承担。
组合
Security and Supply Chain Bundle
消除的风险
一次检查安全缺陷及供应链中的许可证和依赖风险，不留检查空隙。
- 敏感信息泄露
- 依赖漏洞
- 静态安全分析
- 许可证
- SBOM(SPDX 2.3)
US$259
申请检测美元最终价格。当地税费由客户承担。
组合
Full Due Diligence Preparation
消除的风险
一套检查覆盖安全、供应链、价值、技术债务及尽职调查一致性，涵盖审查中可能出现的几乎所有风险。
- IR 一致性自查(文档声明 ↔ 代码实测)
- 重建成本
- 技术债务
- 尽职调查准备度摘要
- 案例研究
- 敏感信息泄露
- 依赖漏洞
- 静态安全分析
- 许可证
- SBOM(SPDX 2.3)
US$590
申请检测美元最终价格。当地税费由客户承担。
附加服务
重新扫描与整改确认书
消除的风险
通过重新扫描的前后对比，验证指出的问题确已修复，避免只能相信“已经修好”的口头承诺。
- 重新扫描对比(已解决、仍存在、新增)
US$69
申请检测美元最终价格。当地税费由客户承担。
单项
AI 攻击防护检查
消除的风险
通过获得授权的渗透测试，提前确认攻击者能否真正入侵您的网站，降低实际遭受入侵的风险。
- 获得授权的主动渗透测试，以非破坏性安全模式执行。必须确认所有权或书面测试权限。
US$500
申请检测美元最终价格。当地税费由客户承担。
09 — FAQ
常见问题
与免费工具、商业安全工具有什么不同？
无需引入或订阅工具，需要时使用一次即可。交付的不是仪表盘，而是一份报告：既有给创始人看的摘要，也有开发团队可直接使用的文件·行级证据。分析在源代码不出门的隔离网络中进行。这并不意味着检测范围或准确度优于专业工具——不同之处在于使用方式。
源代码会不会泄露？
源代码仅在隔离的封闭网络分析环境中处理，不会传输给外部 AI。检测全程自动进行，无人工查看；评估完成后销毁原件并留存审计证据。如经技术证实源代码从我们的系统内部泄露到外部，我们将赔偿付款金额的 100 倍（条件及除外情形见服务条款第 9 条之 2）。
不是开发人员也能看懂吗？
给创始人的一页摘要聚焦业务影响和最优先措施；给开发团队的详细部分则单独提供 SBOM·文件·行·修复指南。
外包交付的代码也能评估吗？
如果已完成交付且所有权归贵公司，就可以。但 TechScan 仅限自家代码自评，不得上传第三方企业的代码（申请时须签署承诺）。如需验证投资·收购目标企业的代码，请使用面向企业的 TechDD Pro。
听说政府也提供免费检测？
是的。目前有公共支持项目免费检测开源许可证和漏洞，条件合适的话是不错的选择。TechScan 有三点不同——① 无需将源代码提交给外部机构 ② 无需申请·审核，24 小时内即可拿到结果 ③ 不仅检查许可证，还一并检查代码中残留的凭据、git 历史和危险的代码流程。
需要多长时间？
上传源代码后 24 小时内出具报告。
可以退款吗？
分析执行前可全额退款。分析开始后，退款将受到限制。
10 — FOR INVESTORS & ACQUIRERS
您是投资方或收购方？
对于需要全项目分析及 CTO 级专家审阅·签名的交易，我们提供 TechDD Pro。