SiteIQ是什么？2026年AI驱动的网站安全与SEO分析平台详解

概述

SiteIQ 是一个集成了安全测试、SEO 分析、全球性能（GEO）测试以及前沿 LLM（大语言模型）安全测试的综合网站智能平台。它旨在为开发人员、安全工程师和 SEO 专家提供一个强大的本地化工具，以全面评估和提升其 Web 资产的安全性、可见性和性能。

SiteIQ 是一个集成了安全测试、SEO 分析、全球性能（GEO）测试以及前沿 LLM（大语言模型）安全测试的综合网站智能平台。它旨在为开发人员、安全工程师和 SEO 专家提供一个强大的本地化工具，以全面评估和提升其 Web 资产的安全性、可见性和性能。

⚠️ 安全须知

此应用程序设计为仅在本地（localhost）运行。

请勿在未进行适当安全配置的情况下将此应用程序暴露在互联网上。如果必须进行远程部署，请遵循以下关键措施：

This application is designed to run LOCALLY (localhost) only.

Do NOT expose this application to the internet without proper security configuration. If you must deploy it remotely, follow these key measures:

1. 启用身份验证：设置 SITEIQ_REQUIRE_AUTH=true 和 SITEIQ_API_KEY=your-secret-key

   Enable Authentication: Set SITEIQ_REQUIRE_AUTH=true and SITEIQ_API_KEY=your-secret-key

2. 使用 HTTPS：在具有 TLS 的反向代理后部署

   Use HTTPS: Deploy behind a reverse proxy with TLS

3. 限制访问：使用防火墙规则限制访问

   Restrict Access: Use firewall rules to limit access

内置安全特性

下表概述了 SiteIQ 的核心安全配置选项：

The table below outlines the core security configuration options for SiteIQ:

功能	环境变量	默认值
API 密钥认证	SITEIQ_REQUIRE_AUTH=true + SITEIQ_API_KEY=xxx	禁用
SSRF 防护	SITEIQ_SSRF_PROTECTION=true	启用
速率限制	SITEIQ_RATE_LIMIT=true	启用
速率限制（请求数）	SITEIQ_RATE_LIMIT_REQUESTS=10	10/分钟
CSRF 防护	内置	启用
输入净化	内置	启用

Feature	Environment Variable	Default
API Key Auth	SITEIQ_REQUIRE_AUTH=true + SITEIQ_API_KEY=xxx	Disabled
SSRF Protection	SITEIQ_SSRF_PROTECTION=true	Enabled
Rate Limiting	SITEIQ_RATE_LIMIT=true	Enabled
Rate Limit (requests)	SITEIQ_RATE_LIMIT_REQUESTS=10	10/min
CSRF Protection	Built-in	Enabled
Input Sanitization	Built-in	Enabled

核心功能详解

安全测试（基于 OWASP Top 10 2021）

SiteIQ 的安全测试套件覆盖了 OWASP Top 10 2021 中的关键风险类别，并扩展了现代 API 和云环境特有的威胁。

SiteIQ's security testing suite covers key risk categories from the OWASP Top 10 2021 and extends to threats specific to modern APIs and cloud environments.

• A01:2021 - 失效的访问控制
  • 目录遍历 (LFI/RFI)
  • 不安全的直接对象引用 (IDOR)
  • CSRF 防护验证
  • 开放重定向

    • A01:2021 - Broken Access Control
      • Directory traversal (LFI/RFI)
      • IDOR (Insecure Direct Object References)
      • CSRF protection validation
      • Open redirects

• A02:2021 - 加密机制失效
  • SSL/TLS 配置检查
  • 证书验证
  • HTTPS 强制实施
  • 混合内容检测

    • A02:2021 - Cryptographic Failures
      • SSL/TLS configuration
      • Certificate validation
      • HTTPS enforcement
      • Mixed content detection

• A03:2021 - 注入
  • SQL 注入（经典、联合、盲注、时间盲注）
  • NoSQL 注入
  • 命令注入
  • XSS（反射型、存储型、DOM 型）
  • 服务器端模板注入 (SSTI)
  • XXE（XML 外部实体注入）

    • A03:2021 - Injection
      • SQL injection (Classic, Union, Blind, Time-based)
      • NoSQL injection
      • Command injection
      • XSS (Reflected, Stored, DOM-based)
      • SSTI (Server-Side Template Injection)
      • XXE (XML External Entity)

• A05:2021 - 安全配置错误
  • 安全头检查（CSP, HSTS, X-Frame-Options 等）
  • 服务器信息泄露
  • 调试模式检测
  • 默认页面检测

    • A05:2021 - Security Misconfiguration
      • Security headers (CSP, HSTS, X-Frame-Options, etc.)
      • Server information disclosure
      • Debug mode detection
      • Default pages

• A10:2021 - 服务端请求伪造 (SSRF)
  • URL 参数注入测试
  • Webhook 端点测试

    • A10:2021 - Server-Side Request Forgery (SSRF)
      • URL parameter injection
      • Webhook endpoint testing

• API 安全
  • GraphQL 内省信息泄露
  • Swagger/OpenAPI 文档暴露
  • 大规模赋值漏洞
  • CORS 错误配置

    • API Security
      • GraphQL introspection disclosure
      • Swagger/OpenAPI documentation exposure
      • Mass assignment vulnerabilities
      • CORS misconfiguration

• 密钥检测
  • 响应中的 API 密钥（AWS, Stripe, OpenAI, GitHub 等）
  • 配置文件暴露（.env, .config 等）
  • JavaScript 密钥扫描

    • Secrets Detection
      • API keys in responses (AWS, Stripe, OpenAI, GitHub, etc.)
      • Configuration file exposure (.env, .config, etc.)
      • JavaScript secrets scanning

SEO 分析

SiteIQ 提供从基础页面元素到前沿技术标准的全面 SEO 审计。

SiteIQ provides a comprehensive SEO audit, from basic on-page elements to cutting-edge technical standards.

• 页面 SEO
  • 元标签（标题、描述、视口）
  • 标题结构（H1-H6 层级）
  • 图片优化（替代文本、尺寸）
  • URL 结构分析

    • On-Page SEO
      • Meta tags (title, description, viewport)
      • Heading structure (H1-H6 hierarchy)
      • Image optimization (alt text, dimensions)
      • URL structure analysis

• 技术 SEO
  • Robots.txt 验证
  • Sitemap.xml 验证
  • 规范标签检查
  • 移动端友好性

    • Technical SEO
      • Robots.txt validation
      • Sitemap.xml validation
      • Canonical tags
      • Mobile friendliness

• 结构化数据
  • Schema 标记（JSON-LD）验证
  • Open Graph 标签
  • Twitter Cards

    • Structured Data
      • Schema markup (JSON-LD) validation
      • Open Graph tags
      • Twitter Cards

• 2026 SEO 标准前瞻
  • llms.txt / llms-full.txt（AI 爬虫指令文件）
  • 推测规则 API（预渲染/预取）

    • 2026 SEO Standards
      • llms.txt / llms-full.txt (AI crawler instructions)
      • Speculation Rules API (prerendering/prefetching)

LLM 安全测试（131 项测试）

这是 SiteIQ 最具特色的功能之一，专门用于测试基于大语言模型的 API 端点，防范新兴的 AI 安全威胁。

This is one of SiteIQ's most distinctive features, specifically designed to test API endpoints powered by Large Language Models (LLMs) against emerging AI security threats.

• 提示词注入
  • 直接提示词注入攻击
  • 间接注入（RAG/上下文攻击）
  • 指令覆盖尝试

    • Prompt Injection
      • Direct prompt injection attacks
      • Indirect injection (RAG/context attacks)
      • Instruction override attempts

• 越狱
  • DAN 风格越狱
  • 角色扮演绕过
  • 上下文操纵

    • Jailbreaking
      • DAN-style jailbreaks
      • Role-play bypasses
      • Context manipulation

• 系统提示词泄露
  • 提示词提取尝试
  • 配置信息泄露
  • 指令揭示

    • System Prompt Leakage
      • Prompt extraction attempts
      • Configuration disclosure
      • Instruction revelation

• 钱包耗尽攻击
  • 令牌乘法攻击
  • 上下文窗口填充
  • 成本利用检测

    • Denial of Wallet (DoW)
      • Token multiplication attacks
      • Context window stuffing
      • Cost exploitation detection

• RAG 投毒
  • 文档上下文注入
  • 元数据操纵
  • 虚假来源归因

    • RAG Poisoning
      • Document context injection
      • Metadata manipulation
      • Fake source attribution

2025 高级 LLM 安全测试（基于 OWASP LLM Top 10 2025）

SiteIQ 集成了针对最新研究和高危漏洞（CVE）的测试模式，保持对前沿威胁的检测能力。

SiteIQ integrates testing patterns for the latest research and high-risk vulnerabilities (CVEs), maintaining detection capabilities for cutting-edge threats.

• 内存/上下文投毒
  • 回声室攻击（对 GPT-4o/Gemini 成功率 >90%）
  • MemoryGraft（持久性危害）
  • 跨会话污染

    • Memory/Context Poisoning
      • Echo Chamber attacks (90%+ success on GPT-4o/Gemini)
      • MemoryGraft (persistent compromise)
      • Cross-session pollution

• 思维链操纵
  • H-CoT（劫持思维链）
  • <think> 令牌注入
  • 安全推理劫持

    • Chain-of-Thought Manipulation
      • H-CoT (Hijacking Chain-of-Thought)
      • <think> token injection
      • Safety reasoning hijacking

• 结构化输出攻击
  • 链式枚举攻击（对 GPT-4o 攻击成功率 96.2%）
  • JSON 键注入（重复键覆盖）
  • 输出格式操纵

    • Structured Output Attacks
      • Chain Enum Attack (96.2% ASR on GPT-4o)
      • JSON key injection (duplicate key override)
      • Output format manipulation

• CVE 攻击模式
  • CVE-2025-32711 (EchoLeak) 模式
  • CVE-2025-54135 (CurXecute) 模式
  • GitHub Copilot RCE 模式

    • CVE Attack Patterns
      • CVE-2025-32711 (EchoLeak) patterns
      • CVE-2025-54135 (CurXecute) patterns
      • GitHub Copilot RCE patterns

• 多智能体危害
  • 智能体间消息投毒
  • 智能体链注入
  • 通过智能体进行权限提升

    • Multi-Agent Compromise
      • Agent-to-agent message poisoning
      • Agent chain injection
      • Privilege escalation via agents

总结

SiteIQ 作为一个开源的一体化平台，成功地将传统的 Web 安全测试、SEO 优化与前沿的 LLM 安全评估结合在一起。其强调本地化部署和丰富的安全配置选项，使其成为注重隐私和控制的团队进行内部审计的理想工具。随着 AI 应用的飞速发展，其内置的超过 130 项 LLM 安全测试项，尤其能帮助开发者和安全团队提前识别和缓解基于大语言模型的新型风险。

SiteIQ, as an open-source all-in-one platform, successfully integrates traditional web security testing, SEO optimization, and cutting-edge LLM security assessment. Its emphasis on local deployment and rich security configuration options make it an ideal tool for teams that prioritize privacy and control for internal audits. With the rapid development of AI applications, its built-in suite of over 130 LLM security tests is particularly valuable in helping developers and security teams proactively identify and mitigate novel risks associated with large language models.

常见问题（FAQ）

SiteIQ平台在安全测试方面主要覆盖哪些OWASP Top 10风险？

SiteIQ的安全测试套件基于OWASP Top 10 2021，重点覆盖失效的访问控制、加密机制失效、注入、安全配置错误、服务端请求伪造（SSRF）等关键风险类别，并扩展了API安全测试。

如何安全地远程部署SiteIQ平台？

如需远程部署，必须启用身份验证（设置SITEIQ_REQUIRE_AUTH和SITEIQ_API_KEY）、在具有TLS的反向代理后使用HTTPS，并通过防火墙规则限制访问，以确保应用安全。

SiteIQ平台除了安全测试还提供哪些核心功能？

SiteIQ是一个一体化AI驱动平台，除安全测试外，还提供SEO分析、全球性能（GEO）测试以及前沿的LLM安全测试（包含131项测试），全面评估网站安全性、可见性和性能。