AI 分析
痛点：用 Lovable、Bolt、Cursor 这类工具生成的“vibe coding”应用在上线后普遍存在 Supabase 表未启用 RLS（行级安全）、前端硬编码 API 密钥、Firebase 规则对外公开等安全漏洞，而作者和 AI 都以为它已经安全，从没有人真正从外部按攻击者视角检查过。
目标用户：没有安全背景的独立开发者、非技术创始人，以及正在用 AI 工具批量交付客户项目的外包或代理机构。
证据：I kept seeing the same story with AI-built apps: the app works, it launches, and then someone finds the Supabase table anyone can read, or a Stripe secret key sitting in the JavaScript. The AI said it was secure, and nobody checked from the outside.
变现：Freemium（免费增值）：免费单次外部扫描作为获客入口；付费版卖持续监控和定时重新扫描（防止漏洞复发）、CI 和部署前自动门禁、团队多项目面板、自动生成修复 PR、可分享的合规或客户交付报告；对代理机构(agency)按项目数或月度订阅收费。
MVP：输入域名后，用无头浏览器渲染页面并抓取打包后的 JS，用正则和高熵检测查找密钥；对 /rest/v1/ 接口执行未登录 GET 探测，判断 Supabase 表是否公开；检查 .env 是否可访问、Firebase 规则、CORS 和 SSL 响应头；输出带严重等级和“可直接粘给 Cursor 的修复 prompt”的报告，并把报告页做成可分享的引流页。
竞品：LeakWatch（本帖产品，免费）、Aikido Security、Snyk、GitGuardian、TruffleHog、Semgrep、Firebase/Supabase 官方安全顾问与内置扫描
摘要：作者发布免费工具 LeakWatch，从外部视角扫描 AI 生成应用（Lovable/Bolt/Cursor）中的 Supabase 未启用 RLS、前端泄露密钥、Firebase 规则和 CORS/SSL 配置问题，并为每条问题附上可粘贴的修复提示词。痛点真实且随 vibe coding 爆发而放大，但帖中只有免费方案，没有任何付费意愿或收入数据，属于拉新推广而非需求验证。同类安全扫描竞品密集，机会在于把“AI 生成应用的一键体检加持续监控”做成面向非技术创始人和代理机构的订阅服务。