全面网站检查
对企业的网站和应用程序进行可重复执行的审计：安全性、站点质量、定价与支付、条款、隐私、可访问性及其他法律法规。它会发现问题，将安全的部分在一个可审查的变更中修复，并向所有者提供一条包含所有必须由他们自己完成的操作的消息。
这是一个检查清单，而非法律建议。请在报告中明确说明。条款、隐私声明以及任何标记为需要律师的内容应由律师进行审查。
步骤 1：了解现状
在开始检查之前，从你能读取的代码、配置、文档和任何项目笔记中构建业务的全貌。记录每个答案及其来源：
- 范围内的每个网站、子域名和应用程序，以及每个页面或屏幕（包括登录、结账、错误和 404 页面）。
- 业务身份：名称、法律形式、所在国家、联系方式，以网站上显示的为准。
- 产品使用的所有外部服务：托管和 CDN、数据库和文件存储、电子邮件发送和接收、登录或身份验证、支付提供商、联系表单、分析工具、错误跟踪、字体、地图、AI 或其他 API。在代码、配置文件、环境变量名称、DNS 提示、CSP 标头和包文件中查找。
- 收集哪些个人数据、存储位置以及保留期限。
- 销售什么产品、价格、货币、计费方式（一次性、订阅、自动续费、免费试用），以及价格显示位置。
- 企业销售或营销的目标国家（货币、语言、税务设置、支付方式、网站上的措辞）。
- 现有的法律页面（条款、隐私、Cookie、可访问性、退款）以及现有的安全或访问规则（README、SECURITY.md、贡献指南、AI 助手指令文件、角色矩阵）。
任何你找不到的内容都应列入最后的问题清单。不要猜测。
工作方式
- 使用你拥有的工具。 如果你无法读取代码、运行命令、打开浏览器、浏览网页或编辑文件，请在报告开头说明哪些检查因此受限。检查所有者粘贴或上传的内容中你可以检查的部分，并向他们提供收集剩余内容的精确步骤。将任何你无法检查的内容标记为未检查并说明原因，切勿标记为通过。
- 验证每一个声明。 每个结果都需要证据：一个
文件：行号、一个命令及其输出、一个截图，或一个包含检查日期的来源 URL。切勿在无证据的情况下写入“合规”。 - 确认法律为当前有效。 法律、标准和法院判决会发生变化。对于检查清单中的每项法律，请到官方政府或监管机构网站确认其是否仍然有效以及当前的要求。记录来源和日期。如果检查清单已过时，请遵循当前法律并注明差异。
- 在运行状态下测试。 在本地或预览环境中运行网站和应用程序，并在真实浏览器中以 320px 和 1280px 宽度进行测试。仅使用虚拟样本数据。切勿进行真实支付、更改生产设置或接触真实密钥；请使用支付提供商的测试模式或模拟工具。
- 修复安全的部分，并将其作为一个可审查的变更（一个草稿拉取请求，或一个精确编辑列表），遵循项目的约定。请勿自行更改条款或隐私声明的法律含义：起草措辞并将其列出，供所有者和其律师审阅。
- 标记每条规则的适用范围： 当前适用（本国和任何已上线的部分）、在美国销售时适用、在澳大利亚销售时适用、在南非销售时适用、在欧盟或英国销售时适用，或仅当超过规模阈值时适用（说明阈值）。一旦企业向某国人员推销、收款或持有其数据，该国的规则即适用。如果本国不在上述之列，请检查该国的等效法律（隐私、消费者保护、电子商务披露、可访问性、反垃圾邮件、税务）。
步骤 2：执行检查清单
阅读 references/checklist.md 并逐一执行每个部分：
- 安全性（访问控制、密钥、输入输出、标头、登录、公共端点、支付、上传、电子邮件、依赖、已存储数据、管理员账户、数据泄露预案）
- 站点质量（页脚、链接、元数据、Cookie、设备和键盘、表单、业务详情、错误消息）
- 定价与支付（支付前必须显示的内容、取消规则、国家规则）
- 条款与条件
- 隐私（将隐私声明与代码实际行为进行对比）
- 可访问性（WCAG 2.2 AA 标准、无障碍声明页面）
- 需要确认的其他法律
切勿因为某个部分之前检查过就跳过：情况会变。
步骤 3：交付
- 一份带有日期的报告文件，每个部分一个表格：项目、标签、结果（通过、已修复、需要所有者操作、需要律师、暂不适用、未检查）、证据以及修复方案或精确的下一步操作。包括你已确认的每项法律的来源和日期。
- 安全修复方案，作为一个可审查的变更。
- 拟议的措辞，用于任何条款、隐私或可访问性变更，单独保存，供所有者和其律师批准。
- 一条面向所有者的消息，消息应包括：
- 开头是他们必须自己完成的每一项操作，列成一个清单（补充缺失的业务详情、向监管机构注册、开启双因素认证、添加 DNS 记录、确认价格、预约律师审查）；
- 然后是你无法从代码中回答的问题，每个问题应能用一两个词或一行简短文字回答，并附上你的最佳猜测（如果你有的话）。当未找到以下至少这些问题的答案时，请务必提问：完整的法定业务名称和法律形式；注册号（或无）；实体地址和邮政地址；面向客户、隐私和可访问性的联系邮箱和电话；他们现在销售和计划销售的国家；大致年营业额范围和客户数量（用于规模阈值）；VAT、GST 或销售税注册情况；支付提供商及其是否接受外国卡；价格、计费周期、试用期和退款政策；代码中不可见的正在使用的服务；儿童是否可能使用该产品；是否处理健康、财务或其他敏感数据；谁负责处理安全事件；每个管理员账户是否已开启双因素认证；
- 以简短总结结尾，说明哪些已修复、哪些仍待处理，并明确声明本报告非法律建议。
- 一旦所有者回答，更新报告、法律草案和修复方案，并将确认的事实保存在项目记录笔记的地方，以便下次检查以此为起点。
在非技能感知工具中使用
任何 AI 助手都可以执行此检查。将本文件和检查清单文件粘贴到对话中，并要求其从步骤 1 开始。