Lovable 做的網站，資料庫可能對路人敞開：上線前請先做的五分鐘檢查
網站看起來正常，資料卻可能對路人敞開
用 Lovable、Bolt 這類工具做出會員或訂單網站，頁面漂亮、功能也能點，這本身就是不小的成就。不過近期有一則提醒值得您留意。
依這篇整理報導的說法，德國資安公司 Crissy Field 與《Handelsblatt》在 11 月 2 日公布一項掃描：15 萬多個 Lovable 專案中，約 2 萬 4 千個使用 Supabase 的網站，會把資料庫內容提供給完全沒登入的訪客。內容包含護照號碼、付款紀錄、合約與大量私人訊息。我們目前只讀到這篇二手整理，尚未核對原始報告，所以數字請當作方向參考。另有一份分析也提醒，各種「某某％的 AI 網站有漏洞」的數字，要看清楚掃描範圍與樣本。
即使數字有出入，問題的型態很明確，也很好懂：網站是公開的，但資料庫的門沒有上鎖。這通常不是工具壞了，而是「誰可以讀哪一張表」的規則沒有設定，或設得太寬。AI 為了讓畫面先跑起來，常會選擇最少阻礙的設定，而這一步在 Demo 時看不出任何異狀。
五分鐘自我檢查：從訪客的角度看自己的網站
您不需要懂程式，下面幾件事可以先自己做，或請手上的工程師協助確認：
- 用無痕視窗、不登入，打開網站。能看到會員名單、訂單、聊天內容或客戶資料嗎？看得到就先暫停對外宣傳。
- 確認每一張資料表都啟用了列級安全（Row Level Security，簡稱 RLS）。這是 Supabase 用來規定「誰只能看自己那一筆」的機制。請工程師逐表確認，而不是只看一兩張。
- 分清兩種金鑰。給前端用的公開金鑰（anon key）本來就會出現在網頁裡，沒問題，前提是 RLS 有設好。管理員等級的金鑰（service_role）則絕對不能出現在前端程式或上傳給別人的壓縮檔裡。
- 檢查檔案儲存區。合約、身分證影本、發票如果放在設為公開的儲存桶，知道網址的人就能下載。
- 問一句：這個網站有收個資嗎？只要有姓名、電話、證件或付款資料，就適用個資保護的責任，開放給陌生人讀取，後果比版面難看嚴重得多。
實務上，如果第 1 項就發現問題，建議先把資料表暫時改成「全部拒絕」，再由懂的人逐一開放必要權限，並把可能已被讀取的時間範圍記下來。需要更換金鑰時，也請一併處理。
該不該重做？多半不用，但要有人收尾
看到這類新聞，不少老闆的第一反應是「那整個網站是不是要重做」。依我們的經驗，多半不需要。前端畫面通常可以保留，需要補上的是權限規則、金鑰管理與檔案存取設定，這是一次有範圍的整理工作。
您可以這樣安排下一步：
- 先用上面的清單做一次初檢，並把結果截圖留存；
- 資料庫選型與資料放哪裡的取捨，可以參考我們先前的資料庫白話比較；
- 其他上線前該檢查的項目，可以對照AI 程式碼上線檢查清單；
- 如果網站已經在收真實客戶的資料，下一步可以考慮請人完整檢查與收尾，服務範圍與收費方式請見服務內容，範圍與價格都會先以書面講清楚。
網站能打開，是第一步；資料有鎖好，才是真正可以對客戶說「放心使用」的時候。
關於 AI 上線專家
AI 上線專家讓您的 AI 幫您把網站部署上線：把一句話貼給 Claude Code、Cursor 或 Codex，幾分鐘後就有一個 您的名稱.aionline.tw 公開網址，可以直接傳給客戶或同事看。
- 免費預覽，不需信用卡，到期自動下線、不會扣款；滿意再升級為永久，最低 NT$99 / 月起
- 靜態網站、Node／Python 等有後端的網站都能部署，需要資料庫時自動配好 Postgres
- 付費方案可以綁自己的網域；部署不起來或需要客製開發，可以直接聯絡我們