一、先说它是什么，也说什么不是
标了 是一个小程序代码的提审前自检工具。你把项目文件夹交给它，它读一遍代码，告诉你哪些地方大概率会被驳回、哪些属于建议改进，最后给一个评级和一份能直接转发的报告。
它不是那种「AI 帮你看看合不合规」的东西。它背后是一套写死的规则——目前 29 条，每条对应一个具体的驳回点，纯静态分析，不调模型、不联网。所以它的结论是可复现的：同一份代码跑两次，结果一模一样，不会今天 A 明天 C。
规则集版本 0.2.2，云端版的报告会写成 0.2.2+29（后面那个数就是规则条数）。这句话的意思是：规则和引擎版本绑在一起，报告里会写明当时用的是哪一套，不会拿着旧结论跟你争。
二、29 条规则，分成 5 个域
规则按 AI 产品过审真正会被问到的方向分域，一条规则只管一件事：
| 域 | 条数 | 管什么 |
| --- | --- | --- |
| ai | 10 | AI 生成内容的标识、算法备案、防沉迷与免责 |
| content | 3 | 内容安全检测、投诉举报入口、推荐算法备案 |
| platform | 7 | 域名白名单、诱导分享、强制授权、提审材料、虚拟支付、死链 |
| privacy | 5 | 隐私保护指引、敏感接口同意、权限文案、注销路径 |
| security | 4 | 硬编码密钥、http 接口、云函数权限、埋点泄露 |
举几条真实的，你对一下自己项目：
AI-01（红线）检测是否具备 AI 生成合成能力——这条是入口判断，命中了才会追问后面几条标识义务；
AI-02（红线）AI 生成内容是否加了显式标识；
PR-02（红线）敏感接口调用前是否有同意兜底；
SE-01（红线）源码中是否硬编码密钥——这条跟审核无关，但最容易被顺手带出来；
PF-06（风险）虚拟支付：iOS 端不得引导虚拟商品付款；
PF-04（风险）提审材料完备度：截图、类目、测试账号。
三、级别、扣分，和最后那句结论
三档级别，扣分权重不一样：
- 红线（
redline）扣 13 分，共 6 条；
- 风险（
risk）扣 5 分，共 22 条；
- 建议（
notice）扣 2 分，共 1 条。
百分制起评，逐条扣，扣到 0 为止。评级 A ≥ 90、B ≥ 75、C ≥ 55、其余 D。
比分数更有用的是那句结论：只要命中红线，直接告诉你「暂不建议提交」；没红线但被风险项拖到 90 分以下，是「修完风险项再提交」；90 分以上才说「可以提交」；更低就是「需返工」。报告最上面是一块「先解决这些」，按级别优先、同级按规则号排，点一下能展开看它到底是根据哪一行代码判的。
我特意把它做成折叠树而不是长列表——一份中型项目跑下来几十条命中，一直滚根本看不完，得能一层层摊开。
四、跑一次是什么样子
日常入口是网页版：双击 标了-免费版.html（发给客户的就是这一份），用 Chrome 或 Edge 打开，点「选择文件夹」选中你的项目目录，就出结果。
手边没现成项目试？
关键一句：分析全在你自己电脑的浏览器里跑，文件不上传、不联网、不离开本机。 看完可以点「下载完整 HTML 报告」，报告也是单文件，直接发给同事或者扔到群里都能看。
它读的是文本文件——.js .ts .wxml .wxss .json .html .css .vue .jsx .tsx .md .yaml .properties 这些，node_modules、.git、miniprogram_npm、dist、build 会被跳过，单个文件超过 512KB 不处理。网页版和云端版会在结论里告诉你有几个文件因为太大没读（只报个数，不列文件名），命令行版这一版连这个数都不报，别以为扫了全项目。
命令行版也有一份（biaole），要 CI 的话接这个。
五、免费给 12 条，剩下 17 条在云端
发出去的免费版含 12 条规则——6 条红线全给，另外 6 条是提审最容易撞的：CN-02 投诉举报入口、PR-04 注销与删除个人信息路径、PF-01 域名白名单与请求协议、PF-03 首屏强制授权、PF-04 提审材料完备度、PF-07 页面死链与空态。
云端版再补 17 条，主要是 AI 标识的后续义务那一片：AI-03 导出文件写隐式标识、AI-04 协议里说明标识方法与样式、AI-05 传播分享时保留标识、AI-06 有没有删除/篡改标识的入口、AI-07 算法备案、AI-08 未成年人保护与防沉迷、AI-09 醒目的 AI 标签样式、AI-10 专业建议场景的免责说明，加上 SE-02/03/04、PR-03/05、PF-02/05/06、CN-03。
规则只有一份实现，云端跑的就是本地这套，不存在「云端偷偷换了判定」。差别在两处：云端版的判定逻辑跑在服务器上、不下发到浏览器；每次体检会和上一次对比，直接告诉你修好了哪几条、新冒出哪几条。
价格：Pro ¥99/年（10 个项目 / 每月 500 次 / 每次和上一次对比），团队 ¥1999/年（项目不限 / 每月 5000 次），也可以按次 ¥1.99/次。入口在 BK-XXXX-XXXX-XXXX，需要的话加 微信 ykunsir。
有一点必须一起说：云端版会把文本文件内容传上去分析（源码不留盘）。不想让代码出本机的，就用网页版本地版，那条路一行都不出去。
六、按次计费这块，实测过
计费是后台按授权码算的，三种模式：包月给月额度、按次扣余额、或者月额度用完再扣余额。几个真跑出来的行为：
- 同一份代码当月重复提交，不扣额度（认 digest，返回
cached: true）——你反复看不算次数；
- 包月超出月额度：429；
- 按次且余额扣完：402，提示「次数已用完：次数包充值后继续，或用另一个授权码」；
- 后台充一次留一条流水，充完立刻能跑，不用重启。
七、它查不出来的（这段别跳）
静态自检只覆盖代码里能看到的问题。下面这些工具会明说它管不了，你得自己核对：
- 标识的显著性：字号、对比度、真机上一眼能不能看见——要看截图；
- 后台配置：隐私保护指引条目、类目资质、服务器域名报备——这些不在代码里；
- 平台审核的自由裁量：合规不等于必过，它做的是把已知红线清零，不是保证过审；
- 图片/音频导出文件的隐式标识核验（
--meta）目前只有命令行版有，网页版和云端版这一版都不含；
- 不构成法律意见，重大产品请配合专业律师。
我宁可在文档里把这些写清楚，也不想让人拿着一个 D 评级去申诉成功、或者拿着 A 评级被驳回之后回来骂我。
实战踩坑提醒
- 别只扫
dist。 引擎默认跳过dist、build这些产物目录，它看的是源码。想连产物一起过一遍，得自己临时放宽忽略范围。
- 免费版和云端版的规则号是同一套。 报告里出现「当前套餐不含这 N 条规则」不是坏了，是被档位挡在门外，点开的目录里有标题和级别，只是不给判定逻辑。
- 提审基线和多席位不在这条路上。
/check只给结论、对比和留档；钉基线、席位在云端版自己的/pro页，用的是另一套密钥（BL1），不是后台发的BK-授权码。别把两边混着买。
- 512KB 是个真实上限。 大文件（尤其是塞了长文案的
.json/.md）会被跳过，不会替你读。跑完先去看有没有「超过 512KB 的文件 N 个未读取」这句话，用命令行版的更要自己心里有数。
小结
标了 干的事很窄：在提交审核之前，用 29 条写死的规则把代码过一遍，告诉你哪几条踩了红线、这次比上次修好了什么。网页版一行代码不出本机，云端版才需要把文件传上去。
它不会替你读法规，也不会替你跟审核沟通。它能做的是让「不知道为什么被驳回」变成「这 3 条先改」。
想试的话，双击网页版跑一遍自己手上那个项目就行；需要全量规则或对比留档，加 微信 ykunsir 拿授权码，按次 ¥1.99 起。
扫码关注公众号，获取更多 OpenClaw 实操技巧：
