没有写过代码的同事，用对话工具一个晚上做出一个能点的页面，第二天拿到会上演示，气氛通常很好。真正的分叉发生在第三天：要接真实账号、要记一笔真实订单、页面报错时没有人看得懂那一行红字。能跑，只说明模型把界面拼出来了；能上线，是另一套工程。
先把结论说清楚。Vibe Coding 适合把想法变成可点击的草稿。草稿变成给客户或员工使用的系统之前，至少要过四道门：谁登录、数据写到哪里、失败了怎么退回、下周谁还能改。四道门有一道说不清，就把它继续留在演示环境，不要接到生产库上。
第一道门：身份不要写在页面里
业余项目最常见的事故，是把模型给的示例密钥、管理员口令直接留在前端代码里。演示时没人看见，页面一分享，密钥就跟着走了。正确做法很笨：登录交给已经在用的账号体系，页面只拿登录后的身份去请求接口。没有现成账号体系，就先做「仅内网、仅名单内的人能打开」，不要先做「互联网上谁都能注册」。
验收时用一个没有权限的账号点同一条链接。打得开、还能看到别人的数据，这版就不能上。
第二道门：先定三张表，再让模型写界面
对话工具喜欢先画按钮。业务真正要守住的是字段：一笔记录有哪些必填项、金额用元还是分、状态只有哪几种。建议在写下一句提示词之前，用半页纸写下三张表的名字和每张表五个字段。模型按这张纸生成，比按「帮我做个管理系统」生成，返工少一个数量级。
纸上写不出的字段，就不要出现在第一版页面上。多出来的输入框，上线后会变成对不上的账。
第三道门：失败要有退路
模型生成的流程往往只有成功路径：提交、成功、提示已完成。真实使用里会遇到重复点击、网络中断、库存不足、权限不够。每一条都要有一句人话的失败说明，以及一个不会把脏数据留下的退回动作。做不到退回，就不要让它写入正式数据。
第四道门：留下一个改得动的人
对话记录不是文档。两周后换一句提示词，可能把上周改好的校验冲掉，而当时在场的人已经不记得哪一句是故意的。最低配置是：代码进版本库、每一版写三行变更说明、指定一个能把页面退回上一版的人。这个人可以不是原作者，但必须真的操作过一次回滚，而不是只在群里说「有问题再找我」。
OWASP 把失效的访问控制和敏感信息暴露放在常见风险前面（OWASP Top 10）。对话生成不会自动避开这些坑，所以四道门要由人来关。
怎么判断可以继续
- 无权限账号打不开别人的数据；
- 三张表的字段有书面版，页面上没有表外字段；
- 至少三条失败路径有提示，并且不会留下半成品记录；
- 有人能在十五分钟内退回上一版。
四条里有两条做不到，就停在原型。原型的价值是帮你看清要做什么，不是替你承担上线之后的客诉。
一个晚上的原型，第二天怎么处置
假设同事做出了活动报名页：能填姓名和手机号，点提交有成功提示。第二天不要急着发到客户群。先问四个问题：手机号存在哪，是浏览器里还是你们自己的库；重复提交会不会出现两笔；谁能导出全部名单；页面改错了能不能在午饭前回到今早那一版。四个答案都明确，再约一次十分钟的真实填报，用两个没有管理员权限的人各报一次。
这一次填报比再生成三个新页面有用。它会告诉你草稿停在演示，还是已经具备交给维护人的条件。维护人可以不是原作者，但要在群里留下名字和回滚步骤。没有名字，链接就只在小范围里传，不写进对客户的承诺。
