快速摘要
用 AI 快速做出原型很容易，但從原型到 MVP 是最危險的階段。本文教你如何識別和管理 AI 帶來的技術債與安全債，按優先級進行重構，安全地走向上線。
原型和 MVP 之間的鴻溝
AI 工具讓「做出一個能動的東西」變得前所未有地快速。一個下午就能用 Cursor 做出有登入功能的 Web App，用 Claude Code 加上資料庫和 API。
但「能動」和「可上線」之間有巨大的鴻溝。原型程式碼中充滿了 AI 留下的技術債和安全債——硬編碼的 API Key、缺失的輸入驗證、過於寬鬆的權限、沒有錯誤處理的 API 呼叫。
這篇文章不是要你放棄 AI 開發，而是教你如何系統性地將 AI 原型升級為可上線的 MVP。
AI 帶來的技術債
AI 生成的程式碼常見的技術債：
- 重複程式碼：AI 傾向每次生成完整的程式碼區塊，而不是重用已有的函數。一個專案中可能有 5 個幾乎相同的 API 呼叫函數。
- 不一致的架構：不同對話中讓 AI 生成的程式碼可能使用不同的設計模式。前半段用 MVC，後半段用 MVVM。
- 過度工程：AI 有時會加入不需要的抽象層、設計模式、或功能。保持簡單比保持「正確」更重要。
- 缺少測試：AI 生成的程式碼通常沒有配套的測試。原型可以沒有測試，MVP 不行。
- 硬編碼值：API URL、設定值、魔法數字散布在程式碼各處，而非集中管理。
- 過時的依賴：AI 訓練資料有截止日期，可能使用過時的套件版本或已棄用的 API。
AI 帶來的安全債
安全債比技術債更危險——技術債讓程式難維護，安全債讓程式被入侵：
- API Key 暴露：AI 經常將 API Key 直接寫在程式碼中。即使後來移除，如果已經 commit，Git 歷史中仍然存在。
- SQL Injection：AI 生成的資料庫查詢不一定使用參數化查詢。
- XSS 漏洞：AI 生成的前端程式碼可能直接將用戶輸入渲染到 HTML 中，沒有做跳脫處理。
- 權限檢查缺失：API endpoint 可能沒有驗證用戶是否有權限存取該資源。
- CORS 過度開放：AI 經常設定
Access-Control-Allow-Origin: *來「解決」跨域問題。 - 錯誤訊息過多：開發時的詳細錯誤訊息如果在生產環境中暴露，攻擊者可以利用這些資訊。
重構優先級框架
不是所有債務都需要在 MVP 前解決。使用這個框架排序：
- P0：上線前必須修（安全相關）
- 移除所有硬編碼的密鑰和 API Key
- 修復 SQL Injection 和 XSS 漏洞
- 加入認證和授權檢查
- 設定適當的 CORS 策略
- 啟用 HTTPS
- P1：上線前應該修（穩定性相關）
- 加入錯誤處理和日誌記錄
- 設定環境變數管理
- 加入基本的速率限制
- 設定資料備份
- P2：上線後逐步改善（可維護性相關）
- 重構重複程式碼
- 統一架構模式
- 加入自動化測試
- 設定 CI/CD
- P3：有空再做（優化類）
- 效能優化
- 程式碼風格統一
- 文件撰寫
MVP 上線前檢查清單
- ☐ 所有 API Key 和密鑰使用環境變數
- ☐ 所有用戶輸入都有驗證和消毒
- ☐ 所有 API endpoint 都有認證檢查
- ☐ HTTPS 已啟用且強制跳轉
- ☐ CORS 設定僅允許必要的來源
- ☐ 錯誤訊息在生產環境中不暴露內部細節
- ☐ 資料庫查詢使用參數化查詢
- ☐ 第三方套件沒有已知漏洞（npm audit / pip audit）
- ☐ 有基本的日誌記錄
- ☐ 有資料備份策略
- ☐ 有基本的監控（至少健康檢查 endpoint）
- ☐ 隱私政策和服務條款已準備
成本與時間估算
從原型到 MVP 的額外投資：
| 項目 | AI 原型 | 安全加固到 MVP |
|---|---|---|
| 時間 | 1-3 天 | 額外 3-7 天 |
| 程式碼量變化 | 基準 | 增加 30-50% |
| 主要增加項 | — | 安全、測試、錯誤處理 |
| 需要的技能 | AI Prompting | 安全知識 + 工程實踐 |
這個時間投資非常值得——一次資安事件的損失（客戶流失、商譽受損、法律責任）遠超過幾天的加固時間。
常見問題
可以直接把 AI 原型上線嗎？
強烈不建議。AI 原型幾乎肯定存在安全漏洞。至少完成 P0（安全相關）的修復後再上線。
如何說服老闆給時間做安全加固？
用具體的風險場景——「如果客戶資料外洩，罰款可能是 XX 萬元」「如果 API Key 被盜用，月費可能暴增到 XX 元」。安全不是成本，是保險。
AI 可以幫忙做安全加固嗎？
可以。讓 AI 審查程式碼的安全問題通常很有效。但最終的安全審查應該由有安全經驗的人確認，因為 AI 可能遺漏上下文相關的漏洞。
MVP 和正式產品的差別？
MVP 是「最小可行產品」——有核心功能、基本安全、能讓早期用戶使用。正式產品需要更完整的功能、更高的穩定性、更好的效能、更完善的監控。