Vibe Coding 原型退出门禁：从可演示代码到可运营发布

一个原型可以在演示中完成登录、生成内容和保存记录，却仍不具备生产资格。演示者知道该按什么顺序点击，数据量很小，依赖都在线，错误可以刷新解决；真实用户会重复提交、关闭页面、使用过期链接，并在权限变化或服务部分失败时继续操作。所谓“再补一点监控就上线”，常把原型中的每个未声明假设带进生产。

原型退出评审不是固定的安全清单，而是一次状态转换：探索环境要么归档并清理，要么依据产品合同重写或加固。前置的规格驱动开发说明用户行为，退出门则要求代码、数据和运行系统都能提供相应证据。

先做资产与捷径盘点

从仓库提交、部署清单和云资源三处建立清单：源代码、生成产物、依赖锁、数据库、对象存储、队列、定时任务、域名、第三方应用、测试账号、密钥与观测端点。每项记录 owner、环境、数据类别、创建方式、删除方式和当前状态。找不到 owner 或无法判断是否仍运行时标为 UNKNOWN，不能按无风险处理。

随后搜索原型捷径：硬编码身份、共享管理员、跳过授权、宽松 CORS、开发密钥、内存状态、无限重试、吞掉异常、无上限上传、固定成功响应、调试路由、公开 source map、手工数据库修改和浮动依赖。Agent 可以协助搜索，但不能只依据关键词宣称清零；配置、运行时和第三方控制台需要各自证据。编程 Agent 沙箱权限可约束加固期间的访问范围。

每个捷径进入三类之一：上线前移除；由正式控制替代；经过 owner 批准、有限期并可观测地保留。没有 owner 和到期时间的“暂时接受”仍是阻断项。

把生产要求写成运行合同

身份与授权必须在可信服务端边界执行，每个读写操作验证当前主体和资源范围，不能只隐藏按钮。秘密通过环境或秘密管理系统注入，不写入源码、镜像层和客户端 bundle；十二要素配置原则提供了基本分离方向，但具体轮换、审计和权限仍由部署平台实现。安全验收可以按 OWASP ASVS 选择与应用风险匹配的控制项，记录适用与不适用理由，而不是宣称笼统“符合安全最佳实践”。

数据合同包含 schema 版本、唯一性、事务边界、并发控制、备份、恢复和保留删除。迁移先在生产形态的数据副本演练，记录耗时与失败恢复；不虚构容量外推。破坏性变更采用扩展、迁移、收缩顺序，确认旧 reader 不再使用后才删除字段。对外 API 经过Agent API 契约兼容门，避免前后端同时改变后用共同测试掩盖不兼容。

可靠性合同明确超时、取消、重试、幂等、降级和资源上限。重试只能用于已知可重试且副作用安全的操作，并设置截止时间与退避；队列消费者记录幂等键或业务去重依据。文件、Prompt、模型响应和第三方接口都要有尺寸或配额边界，失败应向用户给出真实、可恢复的状态，而不是永远旋转。

可观测性要回答用户是否完成任务

日志、指标和 trace 不是数量竞赛。先为关键路径定义少量可回答的问题：请求是否被接受，在哪个边界失败，副作用是否提交，用户能否重试，数据是否落到正确租户。OpenTelemetry 规范可以统一 trace、metric 和 log 的传递模型，但字段仍需明确版本和敏感数据策略。Prompt、自由文本、token、cookie 和个人数据默认不进入普通遥测。

为每条关键路径建立关联 ID，并把客户端动作、API、队列与下游调用连接起来；高基数业务 ID只在受控诊断系统保存。告警绑定用户影响和处置手册，不能只在 CPU 抖动时通知。恢复手册由不熟悉实现的人在预发布环境执行一次，证明依赖、权限和命令足够。

SLO 与错误预算可以把可靠性目标连接到发布节奏，但原型没有历史数据时不要捏造阈值。先定义测量窗口和指标语义，在受控发布中收集基线，再由 owner 批准目标。

以制品和回滚完成发布门

发布必须从干净提交和冻结依赖构建，产物带源提交与内容摘要，同一制品在环境间提升，不在生产服务器临时改代码。Google SRE 的发布工程强调一致、可重复和自动化；对小团队也可落成最小合同：固定构建命令、受审配置、制品摘要、迁移步骤、健康检查和回滚入口。

上线前按风险运行类型检查、单元、契约、集成、端到端、安全与恢复测试。验证命令和结果绑定当前提交，编程 Agent 的改动验证门负责阻止旧日志或无关测试冒充证据。高风险路径还要故障注入：依赖超时、重复消息、权限撤销、磁盘或配额不足、旧客户端请求和迁移中断。

采用小 cohort 或内部流量分阶段提升，观察业务完成率、错误类别和资源预算。回滚条件、负责人和旧制品必须在发布前准备；涉及不可逆数据变更时，先证明前向修复或双读兼容，不能把“重新部署旧镜像”写成万能回滚。

明确三种退出结论

评审最终只能给出 ARCHIVE、REBUILD 或 PRODUCTIZE。归档要求销毁环境、撤销密钥并保存最小决策证据；重写要求冻结原型、建立新规格并禁止继续向旧路径加功能；产品化要求所有阻断项关闭、未知项有 owner、发布与恢复演练通过。结论连接准确提交、制品、配置版本和证据日期，任一关键输入变化都重新评审。

Vibe Coding 让想法更快抵达可见形态，退出门则防止“看得见”被误认为“运转得住”。只有能说明谁负责、怎样失败、如何观测、怎样恢复，原型才真正跨过产品化边界。