周一早上，我第一件事是查客户资料

周一早上九点，我在杭州的咖啡馆打开后台，习惯性查看客户表单和私信记录。看到一则“Lovable 应用暴露护照信息和二十多万条私密消息”的消息，我手一下紧了：咱们不懂代码，交给别人做的小工具，会不会也把客户身份证、合同或聊天记录摆在公开页面？这步我以前真没想过，也搞错过，总以为“做出来”后就等于安全。

它到底是什么，谁已经遇到了

这次说的不是 Lovable 会不会做网站，而是研究者检查公开应用后，发现部分页面或接口能返回用户提交的敏感资料及私密对话。安全研究者 Crissy Field 在自己的站点公布了调查；相关讨论也出现在 Hacker News，一度积累了数百条回复。

咱们先别把它理解成“用了就中招”。更实际的做法，是把咱们自己的客户页面、表单、分享链接和下载入口逐个打开，再从不同设备查看结果。朋友陈嘉在成都做自由职业，她给客户搭报名页后才发现，旧测试链接还留在聊天记录里；她当天换掉链接，并请开发者检查提交内容是否会被公开看到。这个场景提醒我：危险不只在工具里，也常在我们忘记关掉的入口。

今天复刻：0 元、约 90 分钟、低门槛

钱：不用购买工具，0 元。时间：约 90 分钟。技术门槛：能看懂网页、复制链接和查看表单即可，不需要会写代码。第一步：打开 Lovable 后台的项目列表，找到客户资料或消息最多的应用，点击右上角的“Preview”或“Open”，用无痕窗口打开公开页面，依次查看提交入口、分享按钮和文件链接。

然后用普通访客身份测试：能不能看到别的测试数据、文件地址或对话内容；再检查项目设置里的公开访问、数据库访问和分享权限。若拿不准，让开发者按“访客能否读取客户提交内容”做一次检查。若确认有暴露，先暂停公开访问，导出必要资料，删掉旧链接，再决定是否修复、迁移或结束项目。

这工具不是所有人都需要：只有一个展示页、没有客户资料的，现在不查也没事；别为了焦虑临时大改系统。

按你的阶段来，不必照搬别人

如果你刚起步、页面只展示作品集，我会先做一次“陌生访客浏览”，大约半小时，不上传真实证件，也不在公开链接里放敏感信息。

如果你已经有 1—2 个客户，我会做完整检查：逐个测试表单、文件和分享链接，列出暴露项，当天关闭旧入口，并给客户发一句简短的变更说明。

如果你正在扩规模，我会把检查交给开发者写成固定清单，每周复查一次；客户量上来后，再考虑权限、留存期限和备份。这个问题值得处理，但不用停下手里的活：先从打开那个公开预览链接开始。