VibeDoctor —— 只报告 AI 生成代码中密钥泄露、幻觉依赖、Stripe webhook 无签名与 CVE 依赖问题的 GitHub App

结论：做（已有 9 个付费订阅、$108 MRR 与 143 次 GitHub App 安装验证，个人可复刻“付费查看具体位置”的窄缝）｜形态：GitHub App（SaaS 后端）

1. 产品定义与形态

VibeDoctor 扫描 AI 生成代码，只报告问题，不自动修复，由开发者自己决定是否修复。扫描项聚焦四类：密钥泄露、幻觉依赖包、Stripe webhook 无签名校验、CVE 依赖。形态为 GitHub App + SaaS 后端：安装到 repo/PR，只读代码，在 PR 评论或 dashboard 输出报告；不写代码、不自动开 PR。来源1标题即定位：

"Built a scanner for AI-written code on the side. 7 months in: 500 users, 5,000 scans"

2. 目标客户画像

核心是独立开发者、一人公司、2-5 人小团队，常用 Cursor、Claude Code、Copilot、Bolt、v0、Lovable 生成代码，并部署 Stripe/Next.js/Vercel。他们没有安全团队，但会把 AI 代码直接推生产。来源1来自 r/SideProject，作者是 side project 开发者，7 个月做到 500 用户、143 次 GitHub App 安装：

"Stripe-verified on TrustMRR: 500 users, 143 GitHub App installs, 5,000+ scans, 9 active subscriptions, $108 MRR." 优先英语市场；具体国家分布待验证。

3. 付费者与付费证据

付费者是 repo owner/独立开发者，为“问题在哪个文件、哪一行、优先级多高”付费。最强证据是 Stripe 验证的 9 个活跃订阅与 $108 MRR。来源原话：

"The first four months were $0. What got the first paying customer: removing the free ac..." 已有摘要称：取消免费账户层级后获得首批付费用户；从看到 6 个严重问题到付费查看具体位置的终身转化率为 2.6%。该 2.6% 未在给定证据原话中完整出现，待用原帖验证。按 $108/9 假设 9 个订阅同价，客单价约 $12/月；若价格不同，则此 ARPU 为假设值。

4. 时机判断

AI 编程工具爆发，生成代码进入生产，安全债滞后暴露；GitHub App 分发成本低，Marketplace 可搜索。大厂安全工具重心在企业合规，对“vibe coding 小项目”不够聚焦。时机给 80。风险是安全扫描赛道拥挤、大厂免费功能下探。

5. 市场前景

不做市场规模数字。逻辑是：AI 生成代码增量 → 密钥、幻觉依赖、webhook、CVE 问题增量 → 轻量扫描需求增量。来源证明有 5,000+ scans 的使用量，但 $108 MRR 说明变现仍早期。可从小项目订阅切入，再向小团队扩展；天花板待验证。

6. 竞争格局

成熟玩家包括 GitHub Advanced Security、Dependabot、Snyk、Semgrep、GitGuardian、Socket.dev。差异点是：只报告不修复、AI 生成代码专用规则、便宜、GitHub App、面向 indie。不要正面打企业合规。竞争空间 75，因为窄缝存在，但大厂可下探。

7. 90 天路线图

第 1-2 周：MVP GitHub App，扫描 secrets、package.json 幻觉依赖、Stripe webhook 签名、OSV CVE；只读，PR 评论。第 3-4 周：付费墙，免费显示“发现 6 个严重问题”，付费看文件行号、修复优先级和私有 repo；接 Stripe 订阅。第 5-8 周：上架 GitHub Marketplace，落地页埋 SEO，发 r/SideProject、r/github、Hacker News Show HN。第 9-12 周：目标 100 次安装、5-10 个付费（目标非承诺）；收集误报，迭代规则。成功条件假设：付费转化 >2%、月留存 >80%，待验证。

8. 获客与运营

渠道具体执行：发 r/SideProject 的 Show and tell；发 r/github 的 GitHub App 介绍；在 Indie Hackers 发收入与误报复盘；Product Hunt 发布；Hacker News 用 Show HN。SEO 关键词：AI code security scanner、hallucinated package scanner、Stripe webhook signature verification、CVE scanner for AI code、secret scanning GitHub App、vibe coding security。GitHub Marketplace 标题与 README 重复这些词。内容可公开扫描 Cursor/Claude Code 示例项目，生成免费报告引流。

9. 地域需求分析

来源1未给地域数据，待验证。按 GitHub 与 Reddit 英语社区假设，优先美国、欧洲、印度、东南亚英语开发者；用英文界面、Stripe 美元定价。上线后用 GitHub App 安装国家、Stripe 账单国家验证。若印度等市场付费低，推年付 $99 降低月付摩擦。

10. 定价与收入模型

定价：Free 显示问题数量与等级，不显示位置；Solo $12/月或 $99/年，显示位置、修复建议、私有 repo；Team $29/月（假设价，待验证）。来源已验证 $108 MRR / 9 订阅 ≈ $12/月（假设同价）。收入估算写清假设：若 1,000 次安装、2% 付费 = 20 订阅 × $12 = $240 MRR；100 付费 × $12 = $1,200 MRR。均为纯假设，不是来源数字。

11. 风险与放弃条件

风险：误报伤害信任；扫描私有代码的隐私与合规；大厂免费；GitHub API 限流；客单价低。放弃条件：90 天内 <100 次 GitHub App 安装，或 <3 个付费，或付费转化 <1%，或月流失 >10%，则停止。阈值待验证。合规上不存储源码，只存报告摘要。

12. 总评分卡

分数越高代表越有利（执行难度分数越高=越容易执行）。

理由：来源1验证了真实付费与安装；个人可 2-6 周复刻 GitHub App；但 $108 MRR 与低转化说明应做窄、做便宜、做“只报告不修复”，先验证付费墙。