aionclaw生成前端后必须人工检查安全风险：重点核查未转义用户输入（如{{、v-html、innerhtml）、硬编码敏感url（内网ip/http地址）及缺失或宽松的csp策略，否则易引发xss、信息泄露或中间人攻击。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
当你用 AionClaw 自动生成网站前端页面或整站结构后，它不会自动校验输出内容是否符合安全规范，必须人工介入检查关键风险点，否则可能上线即暴露 XSS、敏感信息泄露、不安全重定向等漏洞。
检查 HTML 模板中是否存在未转义的用户输入
打开 AionClaw 生成的 .html 或 .vue 文件，搜索 {{、v-html、innerHTML、document.write 等动态插入点。凡是从用户输入（如表单提交、URL 参数、配置项字段）直接拼入 HTML 标签的内容，都必须确认已调用 escapeHtml() 或使用框架的安全绑定语法。未转义的变量插入会导致存储型或反射型 XSS，攻击者可借此窃取会话 Cookie 或劫持管理员操作。
重点检查所有“自动生成文案”模块，例如产品介绍页、客户留言展示区、动态生成的 FAQ 折叠面板——这些区域极易被 AionClaw 用原始字符串直插 DOM。
核查静态资源引用路径是否硬编码敏感地址
方法一：在生成的 index.html 和 config.js 中查找 http:// 开头的 URL，尤其是 <script src="..."></script>、<link href="...">、fetch("...") 调用。若存在指向内网 IP（如 http://192.168.1.100:3000）、测试域名（如 dev-api.example.local）或未启用 HTTPS 的第三方 CDN，必须替换为环境变量注入或相对路径。
方法二：用浏览器开发者工具 → Network 面板刷新页面，筛选所有红色失败请求，逐个点击查看 Initiator 列，定位到是哪个 AionClaw 生成的 JS 文件触发了该请求——这类文件往往保留了开发阶段的调试配置。
【硬编码的 HTTP 接口地址一旦上线，可能被中间人劫持并篡改响应内容】
验证 CSP 策略是否覆盖全部资源类型
第一步：检查生成的 <meta http-equiv="Content-Security-Policy"> 或 Nginx/Apache 配置中是否存在 CSP 头。
第二步：若存在，确认策略中 script-src 是否禁止 'unsafe-inline' 和 'unsafe-eval'；connect-src 是否仅允许白名单 API 域名；img-src 是否限制了 data: 协议（防止 base64 编码的恶意 payload）。
第三步：若不存在 CSP，必须手动添加。AionClaw 默认不注入该策略，而现代浏览器对缺失 CSP 的站点会放宽对内联脚本、eval 的限制，显著扩大 XSS 利用面。
这一步不能跳过。没有 CSP 的静态站点，哪怕只有一处未过滤的输入点，就足以被构造出完整攻击链。
