Vercel把安全审查挂到每次push上：直推生产分支也会被查，修复要你点头才合并
核心概要
Vercel Security Review进入公开测试，Pro与Enterprise团队启用后，每次推送到已连接的GitHub仓库都会自动做漏洞审查，结果进入Vulnerabilities面板。审查由push事件触发而非拉取请求，因此直接推送和强制推送到生产分支同样会被检查，一次推送涉及的多个项目合并审查。每条发现记录项目、环境、分支和提交，附摘要、建议修复和AI生成的严重度评级；点击Fix with Vercel Agent会由智能体提出修复并开拉取请求，未经批准不会合并。
深度剖析
Vercel Security Review以公开测试形式向Pro和Enterprise团队开放，启用后每次推送到已连接的GitHub仓库都会自动接受漏洞审查，发现汇总在Vulnerabilities面板中。 审查的触发点是push事件而不是拉取请求，所以直接推送和强制推送到生产分支也会进入审查范围，一次推送影响的每个项目一起审查。 每条发现都记录项目、环境、分支和提交，并带有摘要、建议修复和AI生成的严重度评级，使审查结果可以定位到具体提交。
修复环节把发现交给Vercel Agent，由它提出修复方案并打开一个拉取请求供人审阅，在批准之前不会有任何合并。 团队也可以改用自家编码智能体处理，通过Vercel CLI的vercel security vulnerabilities命令操作，或把任意发现复制为Markdown或JSON。 Security Review会为每个被审查的提交添加自己的GitHub检查，存在拉取请求时还会把发现作为评审评论贴出并链接回对应条目，公开仓库上发现详情只留在面板内。
团队可以用自然语言编写安全策略，作用于全部项目或指定项目，为审查补充构建方式的上下文。 团队级策略在Agent设置中配置，项目级策略在该项目的Security设置中配置。 审查分析的是源代码，本身不是安全审计，也不做运行时测试或渗透测试，能帮助发现漏洞但不保证应用没有漏洞。
启示与展望
面向Pro和Enterprise团队，审查对象是已连接的GitHub仓库，分析的是源代码；团队可在Agent设置中启用，CLI命令需要Vercel CLI 65.10.0或更高版本。
审查不是安全审计，不做运行时测试或渗透测试，能帮助发现漏洞但不保证应用没有漏洞；安全审查在2026年11月10日之前免费，之后按Vercel Agent费率计费。