Vibe Coding 安全扫描器 —— 自动扫描 AI 生成应用的前端密钥、数据库规则与安全头缺失

结论：做（有真实按月付费与 350+ 付费用户证据，且一人可在 2-6 周做出 MVP；但必须避开通用 SAST，聚焦 AI 生成应用的 Supabase/Firebase/Next.js 泄露缝隙。）｜形态：SaaS

1. 产品定义与形态

面向用 Cursor、Bolt、Lovable、v0 等 AI 工具快速上线的 Web 应用，自动扫描公开前端资源、JS bundle、source map、环境变量误暴露、Supabase RLS、Firebase rules、CORS/CSP/HSTS 等安全头。输出“关键漏洞数量 + 可操作修复步骤”。形态为 SaaS：用户输入 URL 或连接 GitHub，后端爬取扫描，生成持续监控报告。CLI/浏览器插件可作补充，但订阅与付费墙核心在 SaaS。待验证：AI 生成应用的漏洞率是否显著高于手写应用。

2. 目标客户画像

• 独立开发者/一人公司：用 AI 生成 MVP，无安全背景，怕上线即泄露。
• 小型代理/工作室：替客户上线 vibe coding 应用，需要交付前体检。
• 早期 SaaS 创始人：已有用户/付费，担心前端泄露 OpenAI、Stripe、Supabase service role key。
• 非工程背景 founder：常用 Supabase/Firebase，看不懂 RLS 与 rules。 付费者通常是开发者本人或创始人，预算约 $20-100/月。优先英语市场。待验证：代理是否会批量采购。

3. 付费者与付费证据

来源 1 标题原话：

"After 5 Months of GRINDING... I hit 11k in revenue!"

摘录原话：

"Now there's a small but growing group of people paying every month to keep their apps from leaking." "Three months in and we've done about 11k in gross volume, 350+ all time paying customers, almost"

这说明已有“按月付费防泄露”的需求。注意标题说 5 个月，摘录说 3 个月，时间口径不一致，待验证。已有摘要称近 8k 注册；若为真，350/8000≈4.4% 付费转化，但注册口径待验证。摘要还称“只展示关键漏洞数量”的付费墙有效，这支持免费扫描 + 解锁修复的模型。

4. 时机判断

AI coding 让大量非安全开发者快速上线，安全债被批量制造。来源帖显示 "small but growing group ... paying every month"，说明早期付费已出现。大厂通用安扫不专注 AI 生成栈，缝隙存在。但安全头、密钥泄露是长期问题，窗口并非独占。待验证：AI 建站平台是否很快内置同等扫描。

5. 市场前景

需求真实，但市场规模不可直接引用。可做假设估算：假设全球每月有 10 万个 AI 生成应用上线，其中 1% 愿付 $29/月，则 MRR 约 $29k；但“10 万”和“1%”均为假设，待验证。按来源 1 的 350+ 付费用户、5 个月 $11k gross，更接近能养活一人公司的利基 SaaS，而非 VC 级赛道。竞争多，但垂直缝隙仍可切。

6. 竞争格局

成熟竞品：Snyk、Semgrep、GitHub Advanced Security、Dependabot、Aikido、Detectify、Intruder、Mozilla Observatory、SecurityHeaders。免费替代：OWASP ZAP、Google CSP Evaluator。差异化必须放在 AI 生成应用特定规则：Supabase RLS、Firebase rules、Next.js NEXT_PUBLIC_ 泄露、Vercel 环境变量误暴露、Stripe/OpenAI key 在 bundle。若只做通用安全头扫描，会被免费工具替代。待验证：现有竞品是否已覆盖这些特定栈。

7. 90 天路线图

• 第 1-2 周：规则库 v0，扫描 JS bundle 中 sk_live、sk-proj、AIza、SUPABASE_SERVICE_ROLE、Firebase config；检查 /.env、source map；检查 CSP/HSTS/X-Frame-Options。
• 第 3-4 周：MVP SaaS，URL 扫描、GitHub OAuth、任务队列、报告页、Stripe 结账。
• 第 5-6 周：Supabase/Firebase 规则检测，免费扫描显示关键漏洞数，付费解锁详情。
• 第 7-8 周：10 个种子用户，发 3 条 TikTok slideshow，提交 Show HN。
• 第 9-12 周：每周 20 次冷 outreach，目标 50 付费；按误报反馈迭代。

8. 获客与运营

• TikTok/Reels slideshow：主题如“I scanned 100 vibe-coded apps, X leaked API keys”，但数字必须真实统计，待验证。
• Reddit：发 r/SaaS、r/webdev、r/nextjs、r/Supabase、r/Firebase、r/IndieHackers，先给扫描结论再放链接。
• 冷 outreach：在 GitHub 搜近期 supabase、firebase 仓库，先免费扫描并只告知关键漏洞数量。
• SEO 关键词：supabase rls scanner、firebase security rules checker、next.js env leak scanner、exposed openai key frontend、vibe coding security scan、AI generated app security。每个词做独立落地页。
• 内容：公开匿名扫描报告、修复指南。待验证：这些渠道的实际转化率。

9. 地域需求分析

优先英语市场：美国、加拿大、英国、澳洲，付费意愿较高，TikTok 可触达。欧洲需注意 GDPR 与数据处理协议。印度、东南亚、巴西开发者多但价格敏感，适合免费/低价层。日韩需本地化。来源 1 为英文 Reddit 帖，无法证明地域分布，待验证。建议先英文界面、Stripe 收款、美元定价。

10. 定价与收入模型

• 免费：1 个项目，显示关键漏洞数量，不显示详情/修复。
• Starter $19/月：1 个项目，周扫，邮件告警，修复清单。
• Pro $49/月：5 个项目，日扫，Supabase/Firebase 规则，Slack。
• Team $99/月：20 个项目，API，合规报告，白标报告。 年付 8 折。假设 ARPU $29-49，350 个活跃付费对应 MRR $10.15k-$17.15k；但 350+ 是 all time，不是活跃，待验证。按来源 5 个月 $11k gross、350+ 付费用户，全期 ARPU 约 $31.4（11000/350，假设无退款税费，待验证）。一人公司目标 100-300 活跃付费，按 $29 ARPU 约 $2.9k-$8.7k MRR。

11. 风险与放弃条件

风险：误报导致信任崩；通用竞品免费；AI 建站平台内置扫描；扫描授权与法律责任；密钥检测可能触碰合规。放弃条件：90 天内付费 <50；误报率 >20% 且无法降低；CAC >$100 而 ARPU <$30；大厂或 AI 建站平台免费内置同等功能；连续 2 个月 MRR 不增长。

12. 总评分卡

结论：做。付费意愿与时机强，竞争空间是主要扣分项；必须聚焦“AI 生成应用 + Supabase/Firebase + 前端密钥”这一垂直缝隙，而不是做另一个通用安全扫描器。