对于无数前端和全栈开发者来说，Vercel 简直就是自己的“赛博老家”。我们的 Next.js 项目、环境变量、域名配置全都托管在上面。
但如果你这个“老家”的钥匙（Session Cookie）被黑客偷了呢？
近年来，Info-stealer（信息窃取木马） 极其猖獗，它们潜伏在你的电脑里，专门窃取浏览器保存的 Cookie。一旦你的 Vercel 登录 Cookie 被盗，黑客就能直接接管你的账号，拉走你的商业源码，甚至篡改你的环境变量，给你来一场“降维打击”。
为了彻底堵死这条路，Vercel CTO Malte Ubl 最近宣布了一个重磅安全升级：全面推出设备绑定会话凭据（DBSC），并上线 AI 驱动的 Security Review。
今天咱们就来扒一扒，Vercel 这次是如何给开发者的“身家性命”上物理锁的。
1. DBSC：把 Cookie 锁进 TPM，偷了也用不了
传统的 Web 登录，服务器发给你一个 Session Cookie，浏览器每次请求都带上它。这就好比给了你一把“万能钥匙”，谁拿到了这把钥匙（比如木马偷了 Cookie 字符串），谁就能打开你的门。
Vercel 的 DBSC（Device Bound Session Credentials）直接掀翻了这张桌子。
它的核心逻辑是：把你的登录会话，死死绑定在你当前的物理设备上。
- 当你登录 Vercel 时，系统会调用你电脑主板上的 TPM（可信平台模块） 生成一对公私钥。
- 私钥永远留在 TPM 硬件里，用来对后续的请求进行签名。
- 就像 Malte Ubl 说的：“私钥无法被提取。Vercel 拿不到，你拿不到，恶意软件也拿不到。”
这意味着什么？
这意味着，哪怕黑客用木马把你浏览器里的 Cookie 字符串原封不动地偷走，拿到他自己的电脑上尝试登录，也会因为他的电脑 TPM 里没有对应的私钥签名，而被 Vercel 服务器直接拒绝！
配合 Chrome 浏览器最近推出的 App-Bound Encryption（应用绑定加密），Vercel 相当于给 Cookie 上了“防提取 + 防异地使用”的双重物理保险。目前该功能正在 macOS 和 Windows 的 Chrome 浏览器上渐进式推出。
(注：对于习惯用命令行的硬核玩家，Vercel CLI 也同步推出了基于 DPoP 协议的类似保护技术。)
2. Security Review：AI 帮你盯紧“猪队友”代码
除了防外贼，还得防“内鬼”（比如不小心把 API Key 硬编码进代码里的自己）。
本周，Vercel 为 Pro 和 Enterprise 团队推出了 Security Review（安全审查） 公测版。它直接集成在 Vercel Agent 中，变成了一个不知疲倦的“赛博保安”。
- 自动扫描：每次你把代码 push 到连接的 GitHub 仓库，它都会自动扫描代码变更。
- 精准排雷：专门盯着“缺少授权检查”、“暴露的 Secret/环境变量”等致命漏洞。
- 自动修复：如果权限允许，Vercel Agent 甚至能自己写代码验证并提交修复 commit，直接把漏洞扼杀在摇篮里。
白嫖指南：在 2026 年 11 月 10 日之前，Security Review 的扫描功能是完全免费的！（不过 AI 自动生成的修复 commit 会单独计费，大家按需使用）。
3. 背后故事：4 月份的“血泪教训”
Vercel 为什么突然在安全上如此“下血本”？这不得不提今年 4 月份那次让 Vercel 惊出一身冷汗的安全事件。
当时，黑客并没有直接攻击 Vercel 的服务器，而是入侵了第三方合作伙伴 Context.ai 员工的 Google Workspace 账号。黑客利用这个跳板，顺藤摸瓜渗透进了 Vercel 的内部系统，并查看了一些未标记为敏感的环境变量。
随后，臭名昭著的黑客组织 ShinyHunters 跑出来声称掌握了被盗的源代码、访问密钥和数据库数据，并试图在暗网售卖。
虽然 Vercel 后来澄清核心生产环境并未被攻破，但这次“供应链/员工账号被黑”的事件，彻底暴露了传统 SaaS 平台在面对高级持续性威胁（APT）和信息窃取木马时的脆弱性。这也是促使 Vercel 痛定思痛，直接上 TPM 硬件级防御的根本原因。
Vercel 这次推出的 DBSC 和 Security Review，给整个 SaaS 行业打了个样：真正的安全，不能只靠服务器端的防火墙，更要深入到开发者的硬件底层（TPM）和代码提交的最前线（CI/CD）。
如果你也是 Vercel 的重度用户，赶紧去检查一下你的 Chrome 浏览器是否已经支持了 DBSC，顺便把 Security Review 的免费扫描给开起来。毕竟，在这个“赛博裸奔”的时代，多一把物理锁，就少一次半夜被报警电话叫醒的崩溃。
