Skip to main content

Cursor 代码审计指南 2026：如何审查 AI 生成的代码

Zane
8 min read
🇺🇸English version
Cursor 代码审计指南 2026：如何审查 AI 生成的代码

你用 Cursor 周末搭了个 MVP，应用能跑、用户在注册，一切看上去都好。但底下藏着可预测的 AI 盲区：Composer 历史里的 .env、过度放宽的 Supabase 策略、缺失的服务端校验。本文给出一份可在 2 小时内完成的自审流程，加上官方工具的实战用法。

为什么 Cursor 项目必须做独立审计

Cursor 是当下最强的 AI 编辑器之一，但所有 AI 代码生成器都有同一个根本限制：它们优化的是"能跑"，不是"安全"和"上生产"。

安全研究员 @evilsocket 系统性扫描过 Cursor 等工具生成的 15 个应用，发现 69 个漏洞。问题模式很一致：通过 linter、demo 能演示、但在生产环境累积技术债。

这不是 Cursor 比别人差。这是 AI 通病，需要独立的审查流程。

Cursor 项目的七大风险

风险 后果 出现频率
Supabase RLS 未启用 任意用户可读写他人数据 极高（约 70% AI 项目）
.env 泄露到 Composer 历史 API key 出现在聊天或 git 提交 高
仅前端做认证 浏览器侧校验易被绕过 高
缺失输入校验 XSS、注入风险 高
硬编码密钥 API key 直接写在源码 中
N+1 查询 数据量上来后接口变慢 中
缺 error boundary 单次异常导致整页崩溃 中

知乎和 r/vibecoding 上都有完整的 Cursor 安全审计 prompt 流被分享，Cursor 论坛上的"Bug Hunter"开源 skill 能抓住约 70% 的常见漏洞（密钥泄露、XSS、访问控制问题）。

官方工具：Bugbot

Bugbot 是 Cursor 内置的语义化 PR 审查器，超越语法检查：理解代码逻辑，能发现竞态条件、安全问题和架构隐患。

  • Pro 套餐自带：$20/月（约 ¥144/月）
  • Teams 套餐：上限 200 次 PR 审查/月，$40/用户/月（约 ¥288/月）
  • 抓的是逻辑错误，不只是 style 问题
  • PR 上自动触发

X 上有用户分享：在 main 分支每次 push 都开 Bugbot 自动审查，能抓到多处单独写 code 时漏掉的漏洞。这是大多数独立开发者懒得做的步骤。

Rules 与 Skills：第一道防线

Cursor Rules（.cursor/rules/）和 Skills（.cursor/skills/）允许把安全标准固化进 AI 行为。配置正确，每次生成和编辑 Cursor 都会遵守。

必加的几条 rules：

  • 新 Supabase 表必须启用 RLS
  • 禁用已废弃的 auth-helpers-nextjs
  • 所有用户输入服务端校验
  • 不允许硬编码 API key 和密钥
  • 行级策略必须用 auth.uid()

分步审计流程

第一步：准备（15 分钟）

  1. 配置好 Rules 文件，加入安全约束
  2. 从 Cursor 论坛安装 Bug Hunter skill
  3. 跑 npm audit 检查依赖漏洞
  4. 确认 .gitignore 包含所有 .env* 文件

第二步：可直接复制的 prompt

在 Composer 里跑这两段：

安全扫描 prompt：

"审查本项目的安全漏洞。重点检查：Supabase RLS 是否禁用、是否有硬编码 API key、是否仅做前端认证、是否缺少输入校验、Service Role Key 是否泄露。逐项列出文件路径和行号。"

架构审查 prompt：

"分析项目结构。是否存在 N+1 查询？业务逻辑是否与 UI 组件混在一起？是否有合适的 error boundary？认证中间件是否一致应用到所有受保护路由？"

第三步：开 PR 让 Bugbot 跑

创建一个 PR（哪怕是自己 branch 提自己 branch），让 Bugbot 分析。重点看标记为安全或逻辑问题的评论。

第四步：Agent 模式批量修复

对 Bugbot 找出的每个问题，用 Cursor Agent 模式做定向修复，给出具体文件、行号和修复目标。Agent 在定点修复上比"全文重写"靠谱很多。

上线前安全检查表

[ ] 所有 Supabase 表启用 RLS
[ ] Service Role Key 只在服务端代码中使用
[ ] 所有受保护路由服务端校验认证
[ ] 所有用户输入做了清洗
[ ] 前端 bundle 中无 API key
[ ] npm audit 无严重漏洞
[ ] 所有路由组件包了 error boundary
[ ] 认证和支付接口有限流
[ ] CORS 仅允许你自己的域名
[ ] .env 文件已加入 .gitignore

国内开发者如果在用OpenClaw + Coding Plan 方案，也要同样关注 API key 不能进 git，参考OpenClaw 安全配置做加固。

什么时候找专业审计

自审能抓住大多数常见问题，但有些情形需要专业团队：

  • 处理支付或金融数据
  • 需要过 SOC 2 或 HIPAA 合规
  • 代码库已经超出一个人能审查的规模
  • 融资时需要证明安全态势

专业 Cursor 项目审计的报价区间：快速安全检查约 $500（约 ¥3600），完整上线就绪审计约 $3000（约 ¥21600），周期 3–10 个工作日。

常见问答

能用 Cursor 审计 Cursor 自己生成的代码吗？ 可以，是最快的方式之一，用上面的 prompt 在 Composer 或 Agent 模式跑。局限是：AI 审 AI 会漏系统性问题。关键路径（认证、支付、数据访问）仍要人工 + Bugbot 复审。

最先该查什么？ Supabase RLS 状态、硬编码密钥、服务端认证校验。这三项 10 分钟内能跑完，覆盖了最危险的漏洞。

多久审一次？ 每个大功能上线前都审。Bugbot 配置成每个 PR 都跑，做持续覆盖。

总结

AI 生成代码的常见漏洞模式是可枚举的，配合 Cursor Rules、Bugbot 和这份清单，独立开发者也能在 2 小时内把 MVP 的安全底线拉到生产可用水平。AI 帮你写代码，但安全审查的责任仍在你身上。

返回中文博客