
码凌书片·九十二·没有经验的人不要vibe coding
尝试从零开始做一个项目 这周刚好 gemini 3已经发布有一段时间了,虽然说在刚开始出来的时候我用来做了几道题和用 App 的 canva 功能做了一个前端展示,但是实际上我还并没有测试它的代码功能。 https://x.com/Google/status/1990924447402828120?s=20 这周有一天我发现 ai studio 里面有一个 build 功能,说一句话就可以创建一个完整的项目,可以使用 TypeScript 和 JavaScript 进行构建。本来是抱着试一试的想法,打算做一个集成了 AI 的 RSS 阅读器,于是就尝试性地在 ai studio 里输入了一句话,让他帮我创建一个 RSS 阅读器,没想到试了一下,意外的效果还可以。 当然这个已经是迭代了好几版的产物了 然而到了后期,可能是因为上下文太长了,而且本身我是要求以 Docker 的形式运行的,而谷歌网页的 build 识别到了隐藏文件或者是 Dockerfile 的话,是会直接报错的。于是我不得不开始考虑使用命令行工具或者是 Cursor 以及 Windsurf 这样的 IDE 工具来进行下一步的修改。 在我实际使用的时候,虽然说谷歌的 Antigravity 对于限额来说确实是放的很宽,但是实际上 bug 太多并不好用;而亚马逊的 Kiro 说实话模型太少了,而且免费额度给的不是很足;至于 Cursor 这个东西实在是太贵了,根本用不起;我还尝试了一下字节跳动的 TRAE,说实话,改起来效果确实还不错,而且又有免费的额度,但是就是排队实在要等太久了,而且不知道是为什么用起来非常的卡。 最后在刷了论坛和看了一下闲鱼能获取账号的容易程度,最终还是选择了被 openai 收购的 windsurf。优点也很明显:免费的模型有很多,而且绑卡的话,会送100的积分可以使用高级模型。而且可以很明确的切换 chat 和 code 模式,保证你想和 AI 聊想法的时候不会突然给代码来上一刀。 就这么面向大语言模型编程了几天,我自认为做得还算不错了。于是我把代码公开上架了 github。 结果没有想到当天就爆了。 原来是因为 AI 写代码的时候,它不会自行审查安全问题。它只会审查这个项目跑不跑得起来。如果跑得起来,那它就会直接通过,没有问题;而我也没有经验,也不会利用别的模型进行二次确认。于是就导致了代码中有一个遍历攻击的漏洞,让其他的人可以利用这个漏洞直接访问我服务器上的所有文件。 因此当我刚把代码公开不久,有人就说已经给我的订阅源加上了一个莲之空的订阅。莲瘟真真的喜欢随地拉屎我说实话。 一开始我还没有看我自己的站,我以为是他自己 fork 了一份仓库然后部署的。直到我没事干的时候登上了我的网站,看了一下突然发现了多出来的一个订阅,我才意识到我的站确实是有安全漏洞的。...