面向 vibe-coded 应用的上线前安全审查

扮演一名安全专家，在我的应用上线前进行审查。执行以下检查，并针对每个发现报告文件/位置、风险和确切的修复方法： 1. 安全基线，确保我具备强健的安全响应头和扎实的基础安全态势。 2. OWASP，依据 OWASP 标准审查我的应用，指出漏洞（SQL 注入、XSS、身份验证漏洞）。 3. 数据泄露，检查前端或 API 路由中是否存在凭证或敏感数据泄露：暴露给前端的 .env 值、返回过多数据的 API 响应，以及日志中的密钥。 4. 访问与数据，确认每张表都启用了行级安全（Row Level Security）（没有零策略的表），每个接口都在服务端再次校验输入（客户端校验只是用户体验，不是安全），限流机制覆盖了每个调用付费 API 的接口，并且展示给用户的错误信息是通用的，而完整错误则记录在服务端。 5. 密钥，标出前端中使用的任何 API 密钥或密钥信息，并告诉我如何将其迁移到服务端或通过代理处理。 通读代码库，按严重程度列出你发现的每个问题，并给我可直接复制粘贴的修复方案。