Vibe Coder 的資安入門：個資保護與 OWASP Top 10

台灣個人資料保護法規定，若因過失洩漏使用者個資，最高可處新台幣兩百萬元以下罰鍰，不是說說而已。攻擊者用自動化工具掃描所有 App，不是只攻擊大公司，SQL Injection、XSS 的攻擊代碼是現成的，小 App 一樣是目標。

AI 不會主動問你這個 App 會蒐集個資嗎、需要加密嗎，資安要你主動要求。這一課把個資保護的基本觀念、最常見的三種漏洞，整理成一份你上線前就能照著做的 Checklist。

為什麼 Vibe Coder 需要懂資安

資安不是只有大公司才需要考慮，任何有使用者的 App 都有責任：蒐集了個資就要保護，Email、手機號碼、地址、付款資訊都是個資，蒐集了就要負責保護；最小蒐集原則，不需要的個資就不要蒐集；告知同意，使用者應該知道你蒐集了什麼、怎麼用，沒有告知同意就蒐集是違法的。

個資法基礎：你的 App 蒐集了什麼

OWASP Top 10：Vibe Coder 最需要注意的三個

OWASP Top 10 是最常見的 Web 安全漏洞清單，其中三個和 Vibe Coder 最相關。

一、Injection：注入攻擊

使用者輸入的資料被當成程式碼執行，最常見的是 SQL Injection。解法是永遠用 ORM 或 parameterized query，絕對不要把使用者輸入直接拼進 SQL 字串。

# 危險：直接拼字串
query = f"SELECT * FROM users WHERE email='{user_input}'"

# 安全：用 parameterized query
query = "SELECT * FROM users WHERE email=?"
cursor.execute(query, (user_input,))

二、Broken Authentication：認證漏洞

密碼明文存資料庫、Token 不過期、沒有 Rate Limit 讓人暴力破解。解法是密碼用 bcrypt 雜湊、JWT 設過期時間、登入失敗要有 Rate Limit。

三、Sensitive Data Exposure：敏感資料暴露

API 回傳太多欄位，包含不該給前端的資料，Log 裡有密碼或 Key，HTTP 沒有加密。解法是 API 只回傳必要欄位、Log 不印敏感資料、強制使用 HTTPS。

AI 生成程式的資安盲點

Vibe Coder 的資安 Checklist

每個 App 上線前，逐項確認以下八個項目。

• 密碼有用 bcrypt 或 Argon2 雜湊，不是 MD5 或明文。
• 所有傳輸都走 HTTPS，部署後確認憑證正常。
• 資料庫有 Row Level Security 或權限控制。
• API 只回傳必要欄位，沒有多餘的個資。
• 使用者輸入有驗證，沒有直接拼進 SQL 或 HTML。
• Log 裡沒有密碼、API Key、個人資料。
• 有隱私權政策頁面，即使只是簡單說明。
• 使用者能刪除自己的帳號和資料。