heal.dev

heal 是由 MYIA SAS 營運的除錯與漏洞檢測工具，網址就叫 heal.dev，官網掛著 Product Hunt 單日榜徽章。它的立場很鮮明：市面上的 AI code review 只看單一 PR 的 diff，heal 則是真的把你的產品跑起來，在一個複製正式環境的沙盒裡找「能重現」的 bug、執行期漏洞與效能問題。每一個回報都附上一支會失敗的測試，官網的規則是測試要失敗兩次、heal 重跑時再失敗一次，才會開成 defect。

功能特色與適用場景：流程分五步。先讀程式碼、畫出產品架構、功能與畫面清單；接著學會怎麼啟動你的環境，無法在本機跑的部分就用 mock 補上；然後一邊讀程式碼找可疑點、一邊把每個懷疑丟到沙盒實際驗證；只有被測試重現的才回報；最後可以交給 Claude Code 這類 coding agent 修復並標記為已修。沙盒可以掛 web app、API、帶測試資料的 Postgres、本機 Stripe 模擬器與 Slack（真 API 或 mock），還能故意讓金流、郵件、第三方 API 回傳失敗、變慢或回兩次，專門抓重試與冪等性這類 code review 很難看出的問題。資安部分會同時以兩個使用者登入去打漏洞，抓越權存取；也會爬遍執行中 App 的每個連結找死路由。背後串的開源工具包括 schemathesis、ZAP、dalfox、jwt_tool、nuclei、semgrep、trufflehog、sqlmap。掃描分 Behaviour、Security、Performance 三個面向，各有 Quick、Standard、Deep 三種深度，可本機或雲端執行、連 GitHub 儲存庫。

官網公開了拿開源專案實跑的結果，例如 Infisical 回報 307 個、Windmill 259 個、Cal.com 197 個、Odoo 165 個 defect，另有一份對比四個 AI review 機器人、共 174 個 PR 的 benchmark。這些是廠商自己跑的數字，defect 的嚴重程度分布首頁沒有列出。資安面官網表示已取得 SOC 2，有 trust.heal.dev 信任中心、DPA 與子處理者清單。

台灣使用者怎麼用：適合已經有 CI、但 QA 人力不足的 SaaS 與電商團隊，尤其是串了金流（綠界、藍新這類台灣金流官網沒列，要自己用 mock 處理）與多角色權限的系統，heal 的「雙使用者打越權」與「讓第三方 API 故意失敗」正好補上人工測試最常漏掉的地方。務實作法是先用免費試用掃一個非核心服務，看回報的 defect 有多少是真問題、多少是雜訊，再決定要不要談付費。維護開源專案的人可以直接在 X 私訊 @healdevHQ 申請免費額度。