把一个 vibe-coded 应用做到生产可用要花多少钱？

你用 Lovable、Cursor 或 Claude Code 在一个周末就上线了一个产品，现在有人愿意为它付钱。下一个问题是没人在原型阶段计入成本的：把它做到可以安全运行要花多少钱？这篇文章讲的是钱和时间，不是讨论 vibe-coding 是不是个错误。它不是。是它把你带到了这里。模型跳过的那些部分的账单，现在才刚刚送到。

这里的数字是 Wavect 在AI 生成代码上的项目经验区间，作为典型值给出，不是报价。任何人对一份他没看过的代码库给你一个精确数字，都是在猜，而且猜测总是偏乐观。我们在初步查看后才定范围。

你到底在为什么付费？

你不是在为重写可用的软件付费。你是在为 prompt 从来没要求过的工作付费：模型留在前端的授权、为了让示例跑起来而内联的密钥、十行数据没事但十万行就致命的查询。这些在演示里都看不到，在上线当天全都看得到。一次生产可用整改的成本，就是在用户替你发现这道缺口之前，把它找出来并补上的成本。

这项工作分成两个阶段，定价方式不同。第一是审计：结构化地通读，找出藏着的东西。第二是加固：修复通读暴露出来的问题。大部分时间和钱在第二阶段，但第一阶段告诉你第二阶段有多大。

审计本身要花多少钱？

审计是便宜的部分，也是为你买来对其他一切确定性的部分。它从几天到约一周的专注工作不等，取决于代码库有多大、涉及多少真实资金或敏感数据。一个只读的内部工具在较短一端。一个收款并保存个人数据的产品在较长一端，因为正是这些部分需要最细致的通读。交付物是按严重程度排序的发现报告，以及对后续加固的诚实估算。审计到底会发现什么，写在我们关于 vibe-coded 软件审计的文章里。

加固要花多少钱？

真正的花费落在这里，并随审计发现的内容而变化。诚实的谈法是区间，因为功能清单相同的两个产品，可能因为模型留下的东西不同而需要差别很大的工作量。

把这些当作方向性的。每一行内部的差异由两件事决定：产品涉及多少真实资金或敏感数据，以及 AI 在无人引导下跑了多远。一个处理支付和个人数据的周末原型，需要的远不止一个周末的 QA。

时间到底花在哪里？

人们以为账单由写新代码主导。并非如此。在一次典型的 vibe-coded 加固整改中，大致的分布是这样。

• 阅读与复现，20% 到 30%。在动任何东西之前，理解模型构建了什么并复现故障。你无法修复一个你还没确认坏掉的东西。
• 授权与数据访问，25% 到 35%。几乎总是最大的单项。把访问校验从前端移到服务端，并在数据库层隔离租户，是缓慢而细致的工作，因为它触及每一个端点。
• 失败路径、校验、密钥，15% 到 25%。不那么光鲜的中段。每个外部调用的错误处理、输入边界，以及把密钥从客户端移走并轮换。
• 测试与回归套件，15% 到 20%。写下原型从未有过的测试，好让下一次改动不会把这次的成果抵消掉。

让创始人意外的规律是：新功能的工作量通常是最小的一块。贵的部分是演示永远不会触发的那层看不见的基础设施。

"让 vibe-coded 软件变安全的成本，不是重写它的成本。它是 prompt 从未要求过的那部分工作的成本，而这部分工作并没有因为模型写了初稿就消失。"

审计通常会发现什么？

这些发现会聚集，正因如此才可估算。在各种 vibe-coded 构建中，同样的几项一再出现：一个能用的登录，却没有服务端校验阻止用户 A 读取用户 B 的数据；客户端打包里的密钥；happy path 之外没有错误处理；负载下崩溃的查询；以及完全没有测试。哪些会坏、我们如何按严重程度排序，完整拆解在我们的 AI 生成代码的 QA 一文，分步迁移工作在从 Lovable 和 Cursor 原型到生产。

不做的成本是多少？

这才是要紧的对比。一次加固整改是已知的、有范围的、一次性的成本。另一种选择是在最糟糕的时刻支付的未知成本。一把泄露的支付密钥不是一个预算行，而是一次事故。一个缺失的授权校验不是 bug，而是带有监管和声誉后果的数据泄露。诚实的说法不是"审计要花钱"，而是"审计是一份便宜的保险，让你不必在事故之后、而不是之前，用艰难的方式发现同样的缺口"。

什么时候重建比加固更便宜？

有时通读会显示核心本身就是错的：一个撑不起产品所需的数据模型，或者同一坏模式被复制到整个代码库，以至于每个修复都要做一百遍。遇到这种情况，重建核心比永远打补丁更便宜，我们会在第一通电话就说出来，而不是向你收费去补一个需要重新浇筑的地基。补一个需要重新浇筑的地基，是最贵的省钱方式。

Wavect 如何为这项工作定价？

一旦审计消除了最大的未知，我们就用敏捷固定价格。审计范围定得小而紧。加固的范围根据审计的发现来定，把阻断项、高危项和清理项分开，让你决定资助什么、何时资助。我们绝不会要你为还没人看过的工作签下一个固定数字。这是我们软件质量保证服务的入口。