AI Coding 指南

只要你的应用把用户输入喂给 AI，有人就能用一句话让它「忘记之前的指令」。这不是理论：2026 年真实攻击里，Agent 被网页里的隐藏指令劫持、被文档里的恶意 prompt 套出系统提示。本文讲清注入的三种形态和四层防御，vibe 应用上线前必读。

AI 把编码成本压低了十倍，也把调研成本压低了十倍。本文给一人开发者一份可复制的竞品调研工作流：上午画竞品地图、下午跑 12 个对比维度、晚上输出一页纸决策——以及为什么它最大的价值是告诉你「什么不做」。

让 agent 重构祖传代码，最大的风险不是它写错代码，而是它删掉正确的代码——那些承载着血泪教训的冗余。本文给出 5 条军规：先建安全网、切片小到可回滚、让 agent 当考古学家、锁定行为不锁定实现、把隐性知识写下来，另附重写 vs 重构的判断框架。

Agent 时代最大的浪费不是模型不行，是人没把意图说清楚就让 agent 开工。本文给出 Spec-Driven 开发的完整方法论：一份能驱动 agent 的规格 5 件套、Spec→Plan→Task→Verify 开发循环、4 条铁纪律，以及什么时候不值得写规格的诚实判断。

vibe coding 项目死于数据库选型的，比死于代码 bug 的多：不是因为选错，而是因为选得太重、太早。这篇指南先给一张决策表，再逐个拆解 Supabase、Neon、Turso、Convex 与 Firebase 的真实取舍，最后给三个反直觉建议——其中最重要的一条是：别选「最强」的，选「删起来最不心疼」的。

每个新开的 agent 会话都是失忆的：它不知道你的测试命令、不知道哪个目录不能碰、不知道上周你刚踩过的坑。AGENTS.md 就是给 AI 写的项目说明书——一份写得好的说明书，能让 agent 第一天就像跟了你三个月的老员工。这篇指南讲透说明书里必须有的 5 样东西、3 个反模式，以及一个可以直接抄的模板。

AI 一天能写你一个月的代码量，代价是技术债也以同样的速度累积：重复的工具函数、没人敢动的 800 行组件、测试覆盖率 0% 的核心流程。这篇指南给出一套还债路线图：先量化、再分类，然后按「利息最高」排序还——并且让 agent 自己当还债的主力，而不是你。

AI coding agent 现在能连续自主工作几小时了——瓶颈不再是 agent 的速度，而是你的信任和工作流设计。还在「盯着屏幕等它跑完」？这篇指南给出 5 个原则：任务切分到可验证、检查点代替盯屏、通知代替轮询、失败预算代替完美主义、复盘代替重跑。把 agent 当异步同事，而不是结对搭子。

Photon 为「移动应用」办葬礼、拿下 450 万美元融资，赌的是同一个判断：用户不想再装 App，服务应该住进 iMessage 和 WhatsApp。这篇指南不谈大话，只谈实操：什么产品适合做成「消息原生」、对话式交互的 4 条设计原则、以及 vibe coder 今晚就能动手的一个最小验证方案。

截至 2026 年 10 月，Claude Code、Codex、Cursor、Copilot、Windsurf 等 12 家主流 coding agent 全部支持了工具调用拦截（hooks）。这意味着「agent 干坏事前先问我」从奢望变成了标配。这篇指南讲透 4 类必配的钩子：密钥外泄拦截、危险命令确认、文件写入围栏、审计留痕——附各家的配置思路。

Fallout: New York 刚被 Bethesda 一封 cease and desist 送走。AI 让一个人几天就能「复刻」一款 3A，但版权法不会因此给你打折。这篇指南给出 5 条实战规则：从域名、素材、训练数据到被发函后的应对，教你致敬经典而不踩雷。

Anthropic 刚给 Claude Code 开了改装权限。与其追官方示例的酷炫，不如先写一个真正每天保护你的东西：一个拦截危险命令的护栏 Mod。这篇指南带你走完「理解事件模型 → 让 Claude 替你写 → 安装热重载 → 安全自查」的完整闭环。