真用户上门之前：AI 原型检查清单
Lovable、Bolt、v0、Replit 和 Cursor 能很快做出像样的演示。问题往往出现在后面：陌生人开始注册、钱开始流动的时候。下面是我们接手任何原型时最先做的检查。大多五分钟就能做完，也不需要读很多代码。
九项检查
一个用户能看到别人的数据吗？
最常见、也最严重的漏洞。界面上把别人的记录藏起来了，服务器却可能照样把它们交给任何直接来要的人。
检查：开两个测试账号。从一个账号复制某条记录的链接或 ID，用另一个账号打开。如果你的应用用 Supabase，确认每张存用户数据的表都打开了 Row Level Security（行级安全）。
浏览器或代码仓库里有没有密钥？
支付密钥、数据库密码和 AI 接口密钥只能放在服务器上。一旦跟着前端发到浏览器，任何人都能复制。
检查：在代码仓库里搜“sk_”“secret”“password”，看有没有提交 .env 文件。找到的都挪到服务器上，并且换一把新密钥。
收款经得起真实情况吗？
测试模式永远顺利。正式环境会遇到被拒的卡、退款、重复的回调，还有付到一半关掉页面的客户。
检查：确认订单是由验证过的 webhook 标记为已付款，而不是客户付款后跳转到的那个页面。上线前做一笔真实的小额付款和一次退款。
有备份吗？有人恢复过吗？
没人恢复过的备份只是愿望，不是备份。同时确认测试数据和真实数据放在不同的数据库里。
检查：找到备份在哪里设置、多久一次，然后把一份备份恢复到临时数据库里试试。
出问题时你会知道吗？
没有错误监控，你发现 bug 的第一个信号，就是一个默默离开的客户。
检查：故意触发一个错误，看有没有人收到通知。没有的话，上线前加上错误监控和在线检测。
费用有上限吗？
AI 调用、图片处理和发邮件，单次很便宜，循环起来很贵。某天流量一大，或者来了机器人，一晚上就能刷出一张大账单。
检查：在每个服务商那里设好费用上限，给注册和所有 AI 接口加上频率限制，公开表单加上防机器人验证。
邮件真的送到了吗？
注册确认和重设密码的邮件进了垃圾箱，用户的感受和产品坏了一模一样。
检查：用你自己的域名发信，设好 SPF、DKIM 和 DMARC，再用 Gmail 和 Outlook 邮箱各测一次。
用户能离开吗？知道你存了什么吗？
一份隐私说明、一个删除账号的入口，只收集真正需要的数据。应用商店、支付服务商和隐私法规（包括香港的《个人资料（私隐）条例》）都会这样要求。
检查：删除一个测试账号，确认它的数据已经删除或匿名化。
所有东西都在你名下吗？
域名、服务器、数据库、收款账号、发信服务、代码仓库，还有 AI 工具里的那个项目本身。只要有一样挂在外包或朋友的账号下，先把它处理掉。
检查：列出应用用到的每个服务，以及谁拥有登录权限。不是你的，现在就转过来，趁现在还容易。
修，还是重做？
大多数原型值得保留：页面和流程都是实打实的工作。只有当数据结构跟每个新功能都打架，或者权限控制要处处重写时，重做才划算。先审完代码再决定，别先下结论。