vibe coding 写出的仪表盘未登录就泄露加盟商财务数据

shauntrennery · x · 2026-10-16

一位 Bootlegger 用 AI 编码做的加盟商仪表盘，把加盟商联系方式与财务数据直接打包进页面发给浏览器，任何人登录前就能拿到。漏洞被发现的方式很戏剧化：员工在 Instagram 发的截图里露出了 Railway 的 URL。

作者的结论：登录页不等于安全，数据随页面一起下发就等于公开。AI 让「造出来」变得廉价，但不会让「审查代码」变得可有可无——部署前做基本的访问控制检查仍然不可省。