如何判断 Vibe Coding 应用是否真正达到生产就绪？

判断 Vibe Coding 应用是否真正达到生产就绪，不能只看页面能否打开、用户能否注册，也不能只看代码文件长度或工程师能否在几分钟内读懂。原讨论由一段代码库失控的个人经历引出，但同时推广作者自己的工具，缺少独立审计，因此其中的判断应视为风险提示，而非认证标准。

生产就绪不是一个形容词，而是一组与风险等级匹配的证据：核心行为经过验证，数据能够恢复，权限不会越界，故障可被发现和回滚，并且有人持续负责。

先定义这次发布的风险等级

个人离线工具、公开内容站、保存用户数据的协作应用和处理支付的服务，所需门槛不同。列出数据敏感度、用户数量、外部依赖、资金影响、合规范围和最长可接受停机时间。

风险越高，越不能由同一个代理同时实现、审查和批准。涉及医疗、、儿童、关键基础设施或大量个人数据时，应引入相应领域专业人员。

门禁一：核心行为有可重复证据

为最重要的用户任务写明输入、预期结果和失败方式。自动测试应覆盖正常路径、边界、权限不足、重复请求、并发和外部服务失败。修复缺陷时，先证明测试在旧版本会失败。

测试数量与覆盖率只能辅助判断。若断言复制了错误实现，全部绿色仍可能放行缺陷。关键规则由责任人审查，并使用少量真实且脱敏的数据集验证。

门禁二：数据结构可以演进和恢复

数据库变更必须通过版本化迁移执行，禁止依赖某个人手工修改生产表。迁移要能在接近生产的数据量上测试，并明确失败后的回滚或前向修复方案。

备份只有在成功恢复后才算证据。定期把备份恢复到隔离环境，检查记录数量、关联完整性和关键查询。还要验证用户删除、导出和数据保留规则。

门禁三：权限与密钥经过独立检查

浏览器和移动客户端不保存服务端密钥，数据库权限在服务端按资源所有权校验。逐个测试匿名用户、普通用户、管理员和已停用账户，确认修改标识符不能读取或更改他人数据。

运行依赖扫描和密钥扫描，但不要把扫描无告警等同于安全。对认证、上传、支付、回调和执行外部代码等高风险边界进行人工威胁分析，必要时安排独立安全测试。

门禁四：故障可观察且可控制

应用应产生结构化日志、错误事件和关键指标，并使用请求标识串联一次操作。日志不能记录密码、令牌和不必要的个人数据。为高错误率、任务堆积、支付异常和资源耗尽设置有负责人接收的告警。

在测试环境主动关闭数据库、延迟外部接口或返回错误，观察系统是否超时、重试、降级并给用户清晰反馈。无法观察的成功只是暂时没有收到投诉。

门禁五：发布可以停止和回退

构建应从固定版本和锁定依赖复现，配置与代码分离，测试环境与生产环境的差异有记录。先向内部或少量用户发布，运行冒烟测试，再逐步扩大。

功能开关、上一稳定版本和数据库兼容策略共同构成回退能力。涉及不可逆数据转换时，应先备份、影子运行或双写验证，不能假设重新部署旧代码就能恢复。

门禁六：第二位维护者能够接手

让未参与生成过程的人从仓库开始，完成安装、测试、部署预览和一个小型变更。对方应能找到系统边界、关键数据流、运行告警和回滚步骤，而不是依赖原作者的聊天记录。

五分钟理解代码并非通用标准，复杂系统本就需要更长时间。真正的证据是接手者能在合理时间内安全完成任务，并解释影响和验证结果。

代码结构是预警信号，不是最终裁决

五千行文件、重复组件、循环依赖和散落逻辑通常值得调查，因为它们增加人和模型需要同时理解的上下文。但简单按行数拆文件可能制造更多隐式耦合，并不会自动改善设计。

重构应围绕业务边界、变化原因和可测试接口进行。先用行为测试锁定现状，再小步移动代码，避免在功能发布中混入大规模结构调整。

评估脚手架和生成平台

预设脚手架可以提供一致目录、认证和迁移范式，但不能保证生成的后续变更持续符合规则。评估平台时检查代码与数据导出、依赖透明度、升级路径、锁定风险、安全更新和退出方案。

不要因为模板由“真实工程师”设计就跳过审查。生产责任仍属于部署和运营应用的团队。

建立发布证据表

领域：核心行为
证据：关键流程测试与失败场景记录
负责人：产品与工程负责人
状态：通过、有限通过、阻断

领域：数据恢复
证据：最近一次恢复演练结果
负责人：数据负责人
状态：通过、有限通过、阻断

对安全、可靠性、发布和交接使用同样格式，并给每项证据标注日期。工具升级、架构变化或事故发生后，旧证据可能失效，需要重新验证。

设置明确的阻断条件

无法恢复数据、存在已知越权漏洞、没有生产密钥控制、关键流程没有验证、无人接收告警或无法回滚，都应阻止面向真实用户的发布。可以继续在隔离测试环境验证，但不能通过改名为测试版规避数据责任。

低风险缺陷可以记录后发布，但要明确影响范围、临时措施、修复期限和负责人。发布决策应留下批准记录。

上线后生产就绪仍需持续证明

一次通过门禁不代表永久就绪。依赖升级、用户增长、新权限和外部接口变化都会改变风险。每次重要发布重新检查相关证据，并定期进行恢复和事故演练。

衡量逃逸缺陷、回滚频率、告警响应时间和小变更交付时间。指标持续恶化时暂停扩展功能，先恢复系统可控性。

Vibe Coding 应用是否生产就绪，最终不取决于它由谁或用什么工具生成。用可重复测试、恢复演练、权限验证、故障观测、可回退发布和真实交接证明团队能够承担后果，才有资格把“能运行”升级为“可投入生产”。