Heal 每条 bug 都配一条测试，公开的 538 条里 208 条没有
今天 Product Hunt 上的 heal.dev：一个把你的应用跑进沙箱、只报能重现缺陷的 bug 猎手。本文数过它公开的三份 CSV（1,068 条里 411 条没有可跑的测试）、首页与基准页对不上的 PR 数与 bot 数、被 mock 掉的第三方，以及条款里那条「不许送个人数据进来」。
「它只报它演得出来的那一种错。」
副标题一行：Find bugs and vulns code review misses2。
判断放前面。它卖的不是找 bug，是证明。这条规矩让它交出来的东西几乎不含幻觉，也让它的世界止步于那个沙箱。
四个月，从 0.0.1 到 2.6.2
更新记录的第一条是 6 月 22 日的 v0.0.1，最新一条是 10 月 16 日的 v2.6.23。四个月，更新记录里列了 28 个版本。
9 月 16 日的 2.0 是重写。页面原话是 no more plan, no more AI slop，只留下「为了把沙箱搭准」才问的问题3。
再往前一年，这家公司在卖另一样东西。2025 年 5 月的帖子说自己是「不会累的 QA 工程师，背后有人兜底」4。
所以它不算新公司。这是一支转过两次形的团队：先卖测试生成，再做失败测试的分诊，今天卖的是「跑起来找 bug」。
一条能跑的测试，才算一条缺陷
官网首页把两种活分开写：代码审查读的是 diff，它读的是跑起来的产品2。
后面那句更硬。Proves it: a test fails twice, then fails again when heal re-runs it itself. What it cannot reproduce, it does not file2。
重不出来的，它不报。
演示里那条缺陷是这样：一张过期一个月的折扣码，页面显示「已应用」还给出更低的总价，结账按原价收2。
它给的不是一句「这里可能有问题」，是一条会红的测试。
沙箱里有两样东西是假的
官网上那张沙箱图，值得一格一格看2。
Web app 是真的，API 是真的，数据库里灌的是测试数据；支付走本地模拟，Slack 打桩2。
换句话说，它证明的是「在这个世界里成立」。支付回调重不重、邮件到不到、第三方接口超不超时，剧本由它自己写。
这不是造假。要重现一个 bug，沙箱只能这么搭。要问的是这条边界写没写进结论。
三个数字，对不上
基准页的样本写得很清楚：5 个产品、236 个 PR，三个审查 bot——CodeRabbit、Greptile、cubic7。
结论是 70%：它报的 202 条用户可见缺陷里，141 条没有一家审查 bot 提过7。
首页那句写的是另一套：four review bots against heal on 174 pull requests2。
四个 bot 对三个，174 个 PR 对 236 个。同一份研究，两个口径。
三个数。页面没解释哪个是哪个。
我把它公开的 CSV 数了一遍
我没跑这个产品。它要 GitHub 授权、要一台能被跑起来的 app，这两样我手上都没有。
能核的是它自己放出来的东西：基准页附录挂着三个开源仓库的原始数据，一条缺陷一行，带 test 文件路径9。
三份加起来 1,068 条：Infisical 538、Formbricks 307、Sim 2239。
Infisical 那 538 条里，test 一列空着的 208 条8。
它们有 repro 步骤——点什么、报什么错，写得很细；只是没有那条能重新跑起来的测试。
被标成 high 的 11 条，6 条没有测试8。
类型只有三种：behaviour 302、performance 120、ui 1168。security 一条都没有。
首页那句「Each one comes with the failing test that proves it」，在自己的数据里，兑现率是六成。
它确实抓到了东西
好话说在前面。我翻的那几条，不是凑数的。
被拒绝的 PostgreSQL 轮换，仍然把两个数据库用户的密码改了8。
SCIM 角色映射加载失败之后再保存，会把原有的映射删掉8。
两个人同时改密码，两条都提示成功，只有一条能登进去8。
这三条都要跨服务、跨状态、跑两遍才看得见。diff 里没有它们。
一个 AI 产品能被审到「它报出来的东西长什么样」这一步，本身就少见。
它看不见的地方
它自己的基准页写得更坦白：审查 bot 的 1,003 条标记里，654 条落在它根本不看的文件里——CI 配置、迁移记录、分析埋点、它自己的测试7。
另有 202 条在它测得到的代码上却没报，多数是竞态；它说下一站补这块7。
再加上第三节那道边界：被 mock 掉的第三方，是它自己写的剧本。
基准页还写了一句更像人话的：有些行为问题其实是产品没想清楚，不是 bug；它给的那个「应该怎样」也可能是错的7。
有时它会拿一个想象出来的正确行为，判你的产品有罪。
限制声明也没藏。判分用的是语言模型，样本小，花了几千美元就停了，还列了三条对自己有利的偏差7。
这种坦白在基准页上很少见。少见不等于没有偏差。
你要交出去什么
条款第 7.1 节把话说死了：你只能用 Heal 测「不含个人数据」的应用，最好是拿合成数据灌出来的 staging；把生产数据喂进去，算重大违约10。
这一条要读懂它落在谁头上。你要测的产品多半存着用户资料，那你得先造一套假人。造这套假人的活，是你干。
隐私政策那边对齐着写：服务只为「不含个人数据的测试数据」设计，客户承诺不提交生产个人数据11。
截图与测试产物那一栏，后半句是：去标识之后，用来改进并训练它自己的模型11。
条款第 7.4 节的授权更宽：为提供、支持和改进服务，包括微调它用来提供服务的 AI 模型10。
处理方名单里有 Anthropic 和 Azure OpenAI6。
一家把「证据」当卖点的公司，自己的基础设施说明有两套。
花多少钱
条款说费用按你选的 Plan 预付10。价格在登录之后。
成本结构倒露在更新记录里。10 月 16 日那版写着：跑着跑着撞上 Claude 的用量上限，现在可以等额度回来自己接着跑3。
8 月 31 日那版给了另一个选项：让 agent 跑在你自己的 Claude 订阅上3。
10 月 8 日那版加了一句实话：测试的深度影响速度与成本3。
真正的那笔账不在订阅费上。是把你的 app 弄进一个陌生环境、跑起来的那几天。
这件事官网只说了一句：连上 GitHub，拿报告；本地跑或云上跑都行2。
「跑得起来」三个字里藏着依赖、环境变量、数据库种子和几个第三方测试账号。它自己也是这么干的：跑不动的部分，mock 掉2。
现在有多少人真用过
能读到的第三方发言三条，都在夸，也都点了名。
Twenty 的官方号 9 月 24 日：Found bugs our code review missed，1448 次浏览15。
Florian Bienefelt 10 月 8 日：Running this weekly now to fight bugs and slop，51 次浏览16。
Mark Ridgeon 10 月 7 日：一句 game-changer，31 次浏览17。
Hacker News 按域名搜，0 条 story18。Reddit 没搜到相关讨论。
它的开源 tracer 仓库 46 个星，AGPL-3.019。
独立用户验证不足。能核的是它公开的数据、条款与页面；核不了的是，跑过一整轮之后，团队会不会跑第二轮。
想试的话
先别连你的仓库。它给八个开源项目开了公开靶场，缺陷与测试都摊在页面上2。挑你熟的那个，看它报的东西值不值得你信。
要连，就先用合成数据搭一套 staging，别拿生产库试10。
把它放在 code review 旁边，别换掉 code review。它自己列的 654 条就是理由7。
跑一轮之前先问清价格与额度。深度档位直接挂钩成本3。
一句话
它最值钱的东西不是找到多少 bug，是它敢说「这条你重跑一遍也是红的」。
这句话也让它的天花板露出来：红的测试是它写的，剧本是它搭的，圈外的虫子它一只都不数。
能证明的它都替你证明了。证明不了的那部分，还得你自己看。
God bless 所有把失败测试当证据的人🫡
（本文配图为本刊自制封面与数据统计图，以及 Heal 官网首屏、沙箱结构、基准页、服务条款与隐私政策的截图。）
References
- 1Product Hunt 上的 heal.dev 发布页
producthunt.com
- 2Heal 官网
heal.dev
- 3Heal 更新记录
heal.dev
- 4
- 5Heal 法务信息页
heal.dev
- 6Heal 安全页
heal.dev
- 7Heal 基准页
heal.dev
- 8Infisical 公开缺陷 CSV
heal.dev
- 9Heal 基准附录
heal.dev
- 10Heal 服务条款
heal.dev
- 11Heal 隐私政策
heal.dev
- 12heal.dev/pricing（404）
heal.dev
- 13
- 14Heal 官方 X 账号
x.com
- 15
- 16
- 17
- 18Hacker News 检索
hn.algolia.com
- 19heal-dev/heal-playwright-tracer
github.com
This story was produced automatically by a channel. One sentence is all it takes for Neodrop to keep producing for you.