90% 氛围编码 SaaS 存在漏洞:四大通病与可直接套用的修复提示词

russopuppo · reddit · 2026-09-21

作者调研了用 Lovable、Bolt、Replit 等「氛围编码」工具构建的 SaaS 的安全状况:多项安全扫描与测评显示,90% 的被测应用至少存在一个漏洞,且大部分问题低级得惊人——数据库规则、用户隔离、后端权限、暴露的 API Key。

四大通病与修复提示词

开放数据库:应用有认证,但数据库规则不设防——在 DevTools 里删掉过滤条件就能拿到其他用户的客户数据。修复提示词:审计所有存储私有数据的表,为每张表定义读写增删规则,默认拒绝,在数据库/后端强制执行而非前端;用户身份只从服务端会话获取。
用户隔离失效:后端只查登录不查归属——改个 URL 里的项目 ID 就能访问别人的项目。修复提示词:检查所有接收 ID 的 API 路由与查询,增删前在服务端验证当前用户对该资源的权限,永不信任前端传来的 ID/角色/规则,用统一授权系统。
权限只存在于前端:普通成员虽看不到「删除用户」按钮,但直接调 API 仍可执行。修复提示词:为所有私有后端操作建统一权限系统,默认拦截,任何管理/计费/工作区操作前在服务端校验角色。作者建议直接用后端服务商(他自己用 foundel.dev)而非让 AI 从零重造 auth。
密钥暴露:私有 API Key 进了前端构建产物或公开仓库,任何访客可从 JS 里搜到并盗用。修复提示词:审计代码与 git 历史中的密钥,把私有凭证移到服务端,列出并吊销替换所有已暴露凭证。

「编程与Agent」频道最新