Vibe-Code 生产就绪清单

如果你用 Lovable、Cursor、Claude Code、Bolt、v0、Replit 或传统工具构建了应用，而真实用户马上要使用，请先做这轮检查。它不是完整的生产就绪或安全标准，应按架构、数据、威胁模型、法规和潜在损害调整。一条规则：视觉控件不是授权边界；可信执行必须发生在受保护操作或数据被控制的位置。

这不是在贬低 vibe-coding。AI 辅助与人工编写的代码需要相同的循证工程控制。清单已于 2026 年 9 月 2 日对照 OWASP ASVS、OWASP API Security Top 10 和 NIST SSDF 复核。

我怎么知道我的 vibe-coded 应用是否生产就绪？

把下面十项用作分诊，再增加架构专属要求。通过条件需要证据，但全部通过也不能证明生产就绪。风险、可利用性、暴露面和影响决定优先级；编号不是事故频率排名。

清单

1. 服务端授权。对每个端点、每次读数据，服务端是否确认谁在请求以及他是否被允许？前端校验不算。通过：在请求里改一个用户 ID，确认你拿到的是拒绝，而不是别人的数据。
2. 租户与行隔离。如果应用是多租户的，一个账户能否在物理上触及另一个账户的记录？通过：隔离在数据库或查询层强制执行，而不是在你每个端点都得记得加的应用逻辑里。
3. 客户端没有机密秘密信息。客户端 bundle、日志、构建产物或仓库历史中是否存在特权 API 密钥、凭据或 bearer token？有些公共标识符和可发布密钥本就用于客户端，但仍需最小权限及服务端或数据层授权。轮换已暴露的机密凭据并验证撤销。
4. 在信任边界校验输入与输出。API、队列、webhook、文件解析器和下游集成是否强制执行 schema、大小、类型、编码和业务约束？客户端校验改善易用性，但不是安全边界。测试畸形、超大、恶意输入及异常上游响应。
5. 失败路径已覆盖。当一个外部调用超时、失败或返回空时，应用是否优雅降级？通过：强制每个外部调用失败，确认屏幕不会因未处理的异常而变白。
6. 能扩展的查询。是否有数据库调用被放进了渲染循环里，或者为了数行数而拉整张表？通过：在真实数据量下做过性能剖析，N+1 查询和无界读取已清除。
7. 并发、重放与幂等。识别重复或并行执行会造成损害的操作，例如收费、库存、权限、任务或外部副作用。按工作流需要使用幂等键、唯一性、锁、事务、排序或去重。不是每次状态变更都应盲目可重复。
8. 可恢复的数据与配置。为数据库、对象存储、身份配置、秘密信息和基础设施状态定义恢复目标。适用时版本化迁移，自动备份并使其避开相同故障域，测试恢复和对账。
9. 治理依赖和许可证。盘点直接及传递组件、版本、来源、支持状态、漏洞与许可证义务。扫描器发现只是可利用性和业务风险评估的输入，不会自动决定通过或失败。
10. 存在适度的回归证据。在每项相关变更上运行自动测试和其他验证，覆盖关键行为、授权、失败路径、迁移与集成。没有任何套件能保证下一项变更不会破坏现有功能。测试驱动开发是一种有用实践。

"AI 生成代码不会改变生产证据要求。先检查授权、隔离、秘密信息、校验、恢复和验证，再把审查扩展到系统的实际威胁与义务。"

哪些项会阻断上线？

这十项并不等同。把你的失败项分进三个桶，好先修对的，而不是被整张清单卡住。

• 阻断项。存在通往不可接受损害的可信路径，且没有有效控制或恢复，例如未经授权访问敏感数据、不安全特权操作、重复收费或不可恢复的数据损坏。
• 高危项。其概率或影响要求在计划暴露前处理的实质性弱点，包括可利用的脆弱组件或未经测试的关键失败路径。
• 计划处理。较低的残余风险，有指定负责人、截止日期、监控，并由问责决策者明确接受。若受影响功能关键，缺少测试或恢复证据仍可能是阻断项。

这样分组是为了诚实面对紧迫性。别把可排期的维护工作包装成阻断项，也别让真正的阻断项藏在长清单里。

我不能直接让 AI 自己修吗？

AI 可以检查代码、生成测试、追踪数据流和提出修复，但其发现取决于仓库访问、工具、提示词、模型行为和规格质量。它可能漏掉跨系统假设，也可能产生误报或不安全补丁。应把它作为一位审查者，与威胁建模、自动分析、依赖盘点、动态测试和合格人工审查结合。我们的定制软件开发正是这样做的。

清完整张清单要花多少钱？

这取决于哪些项失败，以及产品涉及多少资金或敏感数据。我们在把一个 vibe-coded 应用做到生产可用要花多少钱里拆解了典型工作量区间和时间的去向。简短版本：跑这份清单的审计是便宜的部分，它在你投入之前就告诉你加固的规模。这是我们软件质量保证服务的入口。