密鑰與資料安全
應用程式的 API 密鑰應存放在哪裡、哪些密鑰可以安全地放在瀏覽器中，以及 MeDo 會和不會為你檢查甚麼。
小型應用程式中大多數真實的安全事故，都源於兩個錯誤之一：本應留在伺服器上的密鑰外洩，或因為沒有設定規則而導致任何人都能讀取資料。本頁涵蓋這兩點。
把憑證放在 Secrets 中，絕不要放在頁面裡
應用程式需要的任何 API 密鑰、令牌或密碼，都應放在 Backend（後端） 檢視的 Secrets（密鑰） 面板中（見應用程式 Secrets），或放在當技能（Skill）需要憑證時 MeDo 在對話中顯示的憑證表單裡。
- 值存在你應用程式的後端——你為一個應用程式保存的密鑰不會與另一個共用，除非這些應用程式共用後端。
- 值再次顯示時會被遮蔽，所以你無法從介面中讀回它們。
- 複製應用程式不會複製其憑證。請在副本中重新設定。
絕不要把密鑰貼到頁面內容中、貼到要求 MeDo「把這個密鑰放進程式碼」的提示詞中，或貼到任何訪客可以看到的地方。
兩種密鑰，兩套不同的規則
這就是為甚麼管理存取權限與角色很重要：當公開密鑰在瀏覽器中時，你的規則就是保護。
下載你的原始碼
當你下載專案時，MeDo 會從專案根目錄的 .env 中移除 service key，使它不會隨壓縮檔一起流出。公開 URL 和公開密鑰會保留，這正是本機運行所需要的。
兩點要記住：
- 自行託管時，把這些值換成你自己專案的值，否則你的本機副本仍會連到託管的後端。
- 即便如此，仍應把壓縮檔視為敏感資料——它包含你的資料庫結構、規則和函式。
內容政策與停權
已發佈的應用程式必須遵守內容政策。違反政策的應用程式可能會被停權，之後對訪客顯示為不可用。發生這種情況時，發佈面板會顯示原因，並附上政策連結，以及 Request manual review（申請人工覆核） 按鈕，供你在認為判定有誤時使用。
MeDo 不會為你做的事
請清楚了解界線，以免誤以為享有並不存在的保障：
- 沒有安全掃描。 MeDo 不會掃描應用程式的漏洞、暴露的資料表、缺失的存取規則或洩露的密鑰，也不會產生安全報告。
- 沒有滲透測試，也沒有針對應用程式的合規認證。
- 品質分析不是安全檢查。 它驗證功能和主控台錯誤；不會嘗試未授權的存取。見以 AI 品質分析進行測試。
上線前的簡短檢查清單
- 所有憑證都在 Secrets 中，沒有任何一個在頁面內容裡。
- 前端任何地方都沒有引用 service key。
- 你已提出存取規則要求，並用兩個測試帳戶驗證過。
- 你已用第二個使用者登入，並確認看不到第一個使用者的記錄。
- 敏感欄位——電話號碼、地址、備註——只會返回給應該看到它們的人。