// 怎么做 · 不会编程也能做应用和网站
Vibe coding 做的应用上线前怎么做安全检查
用自然语言生成的应用最常见的问题是数据库没开权限控制、API key 写在前端。上线前至少做三件事：开启行级安全、移走密钥、跑一次安全扫描。
核实于 2026-10-222 个官方来源
现象
- 任何人拿到网页里的公开 key 就能读写全部数据
- 账单突然暴涨（key 被盗用）
常见原因
- 数据库表没开启行级安全（RLS），或策略过宽
- 第三方 API key 被写进了前端代码
解决步骤
- 用 Supabase 的话：每张表执行
alter table ... enable row level security，开启后在没有策略前，用公开 key 通过 API 读不到任何数据（官方说明） - 按角色写最小策略：未登录用户默认什么都拿不到，登录用户只能读写自己的行
- 把第三方 API key 放到服务端函数或平台的密钥管理里，前端不出现任何密钥
- 发布前运行平台自带的安全扫描（Lovable 提供 quick scan / deep scan），逐条处理发现的问题
- 用另一个浏览器、未登录状态实际测一遍能否看到别人的数据
注意
- 涉及支付、医疗、个人敏感信息的应用，上线前请专业开发者审查
官方参考
2026-10-22 根据官方文档和公开讨论整理，尚未在本站环境复现；与官方文档不一致时以官方为准。