Day 23：什麼是 Vibe Coding？開發變快了，那安全呢？對中小企業主的意義為何?

現在人人用 AI 盲快寫程式，但 AI 寫出來的程式碼可能自帶漏洞！為什麼「源碼掃描（SAST）」在 AI 時代更重要？
Claude是大語言模型，其實並不真正具有「智慧」，而是根據訓練的資料，用文字生成的方式，預測最佳的回應文字。而在訓練資料中有可能會是過時的程式語法，再加上模型要在Token限制內生成，讓使用者有比較好的觀感，就可能忽略部分「安全」程式碼開發。
所以，用AI時我們必須用一些框架，來促使AI重視安全。最常用的框架就是OWASP Top 10 2025。

1. A01:2025 - 存取控制故障
2. A02:2025 - 安全設定錯誤
3. A03:2025 - 軟體供應鏈故障
4. A04:2025 - 加密故障
5. A05:2025 - 注射
6. A06:2025 - 不安全的設計
7. A07:2025 - 身份驗證失敗
8. A08:2025 - 軟體或資料完整性故障
9. A09:2025 - 安全性日誌記錄與故障警報
10. A10:2025 - 特殊情況處理不當
    其實自己在vibe coding（用對話方式請AI開發程式碼），是三階段的：
    階段一：用Claude開發網站程式碼，在這個階段重視的是功能，安全的部分只有登入頁面、使用者註冊功能、每個使用者只看的到自己的資料。例如：「請以phpmysql寫一個輕量級的CRM系統，要包含註冊功能，每個使用者看到自己的資料，管理員帳號密碼admin:admin。」
    階段二：用Visual Studio Code並且安裝Copilot擴充程式後，在此IDE（IDE（整合開發環境）是一種幫助程式設計師寫程式、測試和修改錯誤的軟體工具。常見的例子有 Visual Studio、VS Code 和 IntelliJ IDEA。）中以對話方式要求AI加入安全功能。在要求AI加入這些安全功能時，我們不一定要非常詳細的知道修改的細節，而是透過對話的過程，提示語是：「請為這個專案，加上OWASP Top 10：2025 AXX：XXX的功能」，AI就會自動寫好程式碼。並且詢問要不要正式修改。
    階段三：在本機或雲端配合Laragon和資料庫，實際上線vibe coding寫好的網站。
    對於中小企業主而言，一直是主張，不要被恐懼打亂了自己企業原有的產品佈局，AI工具可以使用，AI理論可以學習，但更重要的是，不是別的企業有什麼，我們就跟風，而是要先想清楚，自己的收入來源，商業模式。*