「它跑得動。我只是不知道推出是否安全。」
你真的用 AI 做出了一個應用程式，這件事本身已經很了不起。但 AI 只會告訴你程式跑得通 — 它不會告訴你陌生人能否讀到用戶的資料、會不會有人被重複扣款、出事時你能否回復到上一個版本。這一頁存在的目的，就是補上這道缺口。先由免費的 20 條問題自我檢查開始。
- 無須註冊，你輸入的內容不會離開瀏覽器。
- Claude Code / Cursor / Lovable / v0 / Bolt
大家通常是這樣找上來的
只要其中一條你覺得似曾相識，這一頁多半用得着
以下全部都是真有人說過的話。沒有一句是丟臉的，也都不是能力問題。它們來自一個結構性事實：有些東西，你不開口，AI 就不會寫。
「ChatGPT 叫我開啟 RLS。我不知道那是什麼，也不知道怎樣做。」
RLS 是資料庫裏決定「誰可以讀哪些資料列」的設定。沒有它，任何知道你應用程式網址的人都可以讀到全部用戶的資料。自我檢查的資料庫部分，第一步就是教你查清楚自己現時是什麼狀態。
「我叫 AI 修一個問題，結果另一處壞了。我已經分不清哪裏才是對的。」
AI 追求的是滿足眼前那一條指令，而不是整個系統的一致。把「絕對不能壞的東西」寫下來，是人的工作。我們就由這裏開始。
「已經推出了，也有人在用。現在才說自己擔心，好像太遲。」
並不遲。已經有真實用戶，反而更適合按優先次序逐項補漏的做法。你不需要把服務下架。
「我想問工程師，但不知道該問什麼。」
不要緊 — 問題由我來問。可以先傳一個網址給我；怎樣分享程式碼倉庫，我會一步步帶你做。
「帳單突然升了，我很怕用量再多會變成怎樣。」
按用量收費的服務，遇上預期以外的流量或一個意外的迴圈就很容易急升。設好上限與警示、找出會急升的端點，是推出之後最划算的事情之一。
「只有我一個人看得懂。萬一我有什麼事，就沒人修得了。」
隨時可以交接，本身就是一項資產。就算只寫下三件事 — 東西放在哪裏、金鑰在哪裏、怎樣回復上一個版本 — 局面已經大不相同。
這裏沒有人會告訴你用 AI 做本身就是錯。我自己每日都在用 Claude Code 寫生產環境的應用程式。
Free · no signup · 20 questions
Is the app you built with AI safe to launch?
Twenty questions to run before you put an app built with Claude Code, Cursor or Lovable in front of real users. You don't need to read any code. Answer yes / no / not sure and you get your risks ordered by severity, plus fix instructions you can paste straight into your AI tool.
Nothing you type leaves your browser — no upload, no storage
- Passwords & API keys
- Database permissions
- Login & permissions
- Payments
- Personal data & legal
- Operations, cost & recovery
你可以要求什麼，以及要花多少
需要多少就做多少，不會多賣
不必一開始就做大。如果你只想知道現在推出是否安全，第一個級別已經足夠。價格是誠實的「起」價；準確報價會在免費的初次通話之後給出。
Pre-launch self-check
Free · no signup · 20 questions
Pre-launch light review
From $210
scoped per project
Tells you whether the app you built with AI (Claude Code, Cursor, Lovable, …) has a hole that must not go live. No coding knowledge required.
Spot review
From $680~1 week
Standard audit
From $1,900~2–3 weeks
Embedded fix
From $4,800Scoped (a few weeks+)
我預設你看不懂程式碼。怎樣分享程式碼倉庫，我會一步步帶你做。
先講清楚
什麼情況下你不需要花錢請人
我不認為每個人都需要付費審查。只要下面有一條說中你，免費自我檢查已經足夠。
- 這是只有你自己用的工具，公司內部或家中使用。外面接觸不到，風險面就有限。
- 沒有登入、沒有其他人的資料、也沒有付款。只是展示資訊的網站，需要擔心的事情非常少。
- 還在建置中，未定推出日期。這件事可以等到推出在望時再處理。
- 自我檢查的結果沒有任何嚴重項目。在這個狀態下，自己繼續做下去完全合理。
為何這件事一再發生
有實測數據說明，這不是你一個人的問題
全部都是第一手資料，逐項附上連結。
45%
AI 生成的程式碼樣本之中含有保安缺陷的比例
在 80 項編程任務、超過 100 個大型語言模型的測試裏，45% 的生成結果引入了 OWASP Top 10 的漏洞。針對跨網站指令碼的防護，在相關樣本中有 86% 守不住。這不是換一個新模型就會悄悄消失的問題。
~2×
AI 協助的提交洩漏密鑰的比率
由 AI 協助寫成的提交，洩漏 API 金鑰與密碼的比例大約是純人手提交的兩倍。AI 追求的是先跑得動，通常就等於把金鑰放在最省事的位置。
CVSS 9.3
AI 建站工具的應用程式中，資料庫權限缺失獲評的嚴重程度
CVE-2025-48757 描述的是生成式建站服務裏資料列層級保安不足，令未經驗證的攻擊者可以讀寫任意資料庫表 — 評級落在最高的 CRITICAL 區間。供應商已就該 CVE 提出異議，理由是保護應用程式資料屬於客戶的責任。換句話說：作為建置者，這正式成為你的責任。這一頁存在的理由，正正就在這裏。
這些都不是在反對這些工具。它說明的是：快速推出與安全推出是兩件不同的工作，而後一件仍然由我們負責。
由誰來看
一個用着同樣工具、並且把它們放在生產環境運行的人
我不是站在外面評論用 AI 開發有沒有風險。我用 Claude Code 建置並營運自己的生產產品，也在真實的客戶專案裏補上過它留下的缺口。
如果你寧願自己弄明白
我把行內術語翻譯過來，寫成文章
寫給想先弄懂再開口的人。由「RLS 是什麼」到「怎樣交接給工程師」，按真正會傷到你的程度排序。全部免費閱讀。
常見問題
聯絡我之前，大家常問的問題
不懂編程也可以找你幫忙嗎？
可以 — 這一頁就是按這個前提寫的。我解釋時會把行內術語翻譯成日常說法，報告也是寫給非工程師看的。如果你不知道怎樣分享程式碼倉庫，這一步我也會帶着你做。
你會不會說用 AI 做本身就是錯？
不會。我每日都在用 Claude Code 寫生產環境的產品。用生成式 AI 開發本來就又快又便宜，很多時候也是正確的選擇。我的立場只有一條：快速推出與安全推出是兩件不同的工作，而後一件仍然由我們負責。
把程式碼交給別人看，我有點不安。
很合理。免費自我檢查不會把你的程式碼傳送到任何地方 — 它完全在你的瀏覽器裏執行。付費審查也可以只分享真正相關的部分，還可以先簽 NDA。
收費大約是多少？
推出前的輕量審查 $210 起，大約三個工作天完成。你會得到有沒有致命漏洞的結論、一份寫給非工程師看的報告，以及可以直接貼進 AI 工具的修正指示。更深入的設計審查，或由我來實作修正，會按範圍升上一個級別。實際範圍在免費的初次通話裏定下來。
已經推出、也有用戶了，是不是太遲？
不遲。可以做的事情還有很多；有真實用戶時，我們會按不必令服務停頓的次序來補。第一步是判斷有沒有什麼必須即刻停下來。如果涉及金錢或個人資料，越早動手，可選項越多。
你可以接手我的應用程式繼續開發嗎？
可以。交接做好準備會便宜得多，所以通常第一步是把現狀弄清楚 — 東西放在哪裏、金鑰在哪裏、能否回復上一個版本。審查的產出同時就是交接文件。
我用的不是 Claude Code，也適用嗎？
適用 — Cursor、Lovable、v0、Bolt、Replit 全部一樣。這些缺口是跨工具共通的。那些會順手替你開通後端的工具（Lovable、Bolt、v0），往往帶着看不見的資料庫權限缺口推出，所以我會格外仔細地看那一部分。
先弄清楚自己現時究竟站在哪裏
免費自我檢查有 20 條問題，約五分鐘，無須註冊，也沒有電郵欄位。結果會告訴你每一項該怎樣修，並給出可以貼進 AI 工具的指示。剩下的才交給我。
我會在兩個工作天內回覆，也不會發銷售跟進訊息。