Vibe Coding 資安基礎：AI 幫你寫的 App，上線前一定要守住的 20 道門

AI 說「完成了，全部都可以用了」。畫面很漂亮、功能也都正常，你把網址分享出去，開始有人註冊。

可是你不知道的是：金鑰就寫在前端，任何人按 F12 都看得到；資料表沒有上鎖，改一下網址就能看到別人的資料；AI 代理拿著正式資料庫的權限，一個指令就能把資料全部刪掉。

這些不是假設，而是近兩年真的發生的事：

• 約 45% 的 AI 生成程式碼含有常見漏洞（Veracode《2025 GenAI Code Security Report》）。
• 研究者掃描 1,645 個 Lovable 展示 App，170 個以上沒有開資料庫門禁，外洩了使用者的 email、地址等資料（CVE-2025-48757）。
• Tea App 一個設成公開的雲端儲存空間，讓約 72,000 張照片外洩，其中包含自拍與身分證件照。
• 一位創業家用 AI 代理做實驗，在「沒有許可不准改」的指示下，AI 仍然刪掉了正式資料庫。

做得快是好事，但出事也一樣快。這門課就是為了讓你繼續用 AI 寫程式，同時不讓 App 變成別人的提款機。

這門課怎麼教

• 先講觀念，用生活比喻：金鑰像家裡的鑰匙、權限像門禁卡、資料庫規則像每個房間的門鎖。不懂程式碼也聽得懂。
• 真實事件與數據：每個主題都從一個真的發生過的事件或研究數據開始，讓你知道問題有多常見。
• 一步一步的做法：每個單元都有流程，告訴你該檢查哪裡、該請 AI 怎麼改。
• 自己動手驗證：不只相信 AI 說「已經安全了」，教你用免費工具、瀏覽器開發者工具和簡單的測試，親眼確認漏洞真的補起來了。
• 提示詞小卡：每單元三張可以照抄給 AI 的提示詞，請 AI 檢查、請 AI 修、請 AI 寫測試。

你會守住的 20 道門

先建立資安觀念（第 1～4 單元）

為什麼要懂資安、用攻擊者的眼光看自己的 App、金鑰不能曝光、登入不要自己寫。

守住資料與每一次請求（第 5～8 單元）

權限與 IDOR、Supabase RLS 與 Firebase 規則、SQL Injection 與輸入驗證、XSS 與安全標頭。

API、檔案、套件與 AI 代理（第 9～12 單元）

CORS 與速率限制、檔案上傳與雲端儲存、幻覺套件與惡意套件、AI 代理的最小權限。

AI 工具、環境與救援（第 13～16 單元）

Prompt Injection 與 MCP、開發測試正式分開、日誌監控與告警、備份與還原演練。

個資、金流與上線檢核（第 17～20 單元）

台灣個資法與最少蒐集、Webhook 驗證與帳單爆量、自動化資安掃描，最後是上線前檢核清單與出事時的應變流程。

學完之後，你會有

• 一張自己 App 的攻擊面清單：知道資料、金鑰、金流放在哪裡、誰可以碰。
• 一套每次推送程式碼都會自動跑的資安檢查，金鑰外洩、有漏洞的套件會被擋下來。
• 一份上線前檢核清單與事件應變流程：出事時知道第一步該做什麼。
• 跟 AI 協作的新習慣：讓 AI 寫，但每一道門都由你親手驗證。

要先知道的事

• 課程示範都在自己的 App 與測試環境進行，不教攻擊別人網站的方法。
• 畫面是示意，各工具的介面可能隨版本調整；程式範例是教學用的簡化版本。
• 不需要會寫程式；看得懂一點程式碼會更快上手。