AI 分析
痛点：用 Lovable/Cursor 等 AI 工具自助做出并已获付费用户的 MVP，普遍缺少授权校验（IDOR）和 Supabase RLS，导致越权读取他人数据甚至提权，创始人不懂代码只能花钱请人排查
目标用户：非技术背景的独立创始人/小团队（用 AI 工具自建 MVP、已有付费用户但无开发团队），以及为他们服务的审计/代理机构
证据：They built it themselves in Lovable or Cursor, got it to paying users and now something's on fire and they want someone to look under the hood. / On one tutoring marketplace, changing the number at the end of a URL showed you a different tutor's students, parents' phone numbers included. Another let you make yourself an admin by adding one extra field to your profile update request.
变现：1) 免费一键扫描 + 付费详细报告（$49–199/次）；2) 按项目订阅的持续性监控（每次 AI 重新生成代码后自动复扫，$29–99/月）；3) 面向代理机构的批量席位授权；4) 高客单价人工深度审计作为 upsell
MVP：两周内做一个 Web 工具：用户填入 Supabase 项目 URL + anon key 或连接 GitHub 仓库，工具自动①枚举所有表并用 anon key 逐个查询，检测未开启 RLS 的表；②解析 migrations/SQL 找出缺失的 RLS policy；③用两个测试账号对 API 路由做 IDOR 越权探测（替换 URL 中的资源 ID 看是否返回他人数据）；④输出按严重度排序的中文修复清单和可直接粘贴的 RLS policy 代码。先不碰复杂静态分析，只做 Supabase + REST 路径这一最高频场景
竞品：Snyk、Semgrep、Supabase 自带 RLS Linter / Security Advisor、OWASP ZAP、Aikido Security、ZeroPath
摘要：一家做了 8 年 MVP 的外包团队审计了 12 个用 Lovable/Cursor 自建、已拿到付费用户的 AI 生成 MVP，发现几乎全部存在同类问题：注册登录都正常，但完全没有授权校验——例如改 URL 末尾数字就能看到其他导师的学员和家长手机号，或在 profile 更新请求里加一个字段就能把自己变成管理员。创始人不懂代码、项目已有人在用、出事只能花钱请人排查，说明这是一个真实且有付费能力的细分安全需求。