バイブコーディング（vibe coding）実践 — Cursor / Claude Code / v0 / Lovable / Bolt で作って、安全に本番に出す開発者ガイド

AIが生成したコードを『上から順に読む』レビューは効きません。diffを開いて最初に疑う4つの境界——入力・認可・秘密・依存——を先に見るレビュー手順を、一人×生成AIの実務から解説。grepで機械化する箇所と、人間にしか下せない認可判断の切り分け、npx @aegiskit/cli scan での自動化を示します。

Claude Codeを本番運用に耐えさせる設定を実装者視点で解説。permissionのdenyで秘密情報をfail-closedに閉じ、hooksでスキャンを自動発火させ、CLAUDE.mdで規約を固定する。設定では閉じない認可/IDOR・RLSの縦リスクはaegis fixのループと設計で塞ぐ役割分担を示します。

AIエディタCursorを本番で安全に使うガイド。Project Rulesにセキュリティ規約をコード化し、.cursorignoreとenvで秘密を載せず、Auto-run（YOLO）の権限境界を絞り、生成diffを認可観点で見て、CIにaegis ciで機械ゲートを敷く——Cursor固有の統制を体系化します。

時間も予算もない個人開発者向けのリリース前セキュリティ・チェックリスト。秘密情報・依存脆弱性・認可（RLS）・入力検証を、Secret scanning・Dependabot・npx @aegiskit/cli scan・/aegis/rls-checker など全部無料のツールで機械的に潰す手順を解説します。

Claude CodeやCursorが生成するSupabase RLSは『動く』が『認可になっている』とは限りません。USING(true)・authenticated全許可・WITH CHECK欠落・RLS未有効化・SECURITY DEFINERのsearch_path未固定——AIが吐く定型ミスを実SQLでカタログ化し、公開アプリ1,000件で約9.2%という実測の下限値とともに、貼るだけのチェッカーやscanで見抜く検証ワークフローを解説します。

v0・Lovable・BoltなどAIアプリビルダー製で、公開済み・実ユーザーがいるアプリの脆弱性を自分の責任で潰すガイド。Lovableの実例CVE-2025-48757（RLS不備・CWE-863・CVSS9.3）を読み解き、エクスポート後のコードをscan→RLS手検査→probeで検査する手順を解説。

昨夜AI（Claude Code / Cursor）で作ったSaaSを、今朝そのまま公開していいか。バイブコーディングで頻出する5つの危険——認可の欠落・Supabase RLSの設計ミス・注入・秘密情報のハードコード・検証ゲートの不在——を、脆弱→修正の実コードと『自分で叩いて確かめる』手順で解説。公開前セルフ診断チェックリストへ導きます。