Vibe Coding 做 toB 的边界："演示"和"交付"之间差了一个 SOC2

Vibe coding 最爽的时刻，是 demo 那一刻：三天搭出一个能跑的系统，客户眼睛一亮："就要这个！"然后你签了合同，开始交付，才发现：demo 和交付之间，隔着一道叫"toB"的鸿沟。这篇讲 vibe coding 做 toB 服务的边界——哪些钱能赚，哪些坑别踩。

核心观点先摆出来："演示"和"交付"之间，差了一个 SOC2。不是差一个功能，是差一整套"企业级"的工程纪律、安全合规和责任体系。看不懂这句话的人，会在第一个 toB 项目里亏掉裤子。

先说结论：vibe coding 做 toB，甜区在哪？

vibe coding 做 toB 不是不行，是有明确的甜区：内部工具、MVP 验证、数据看板、流程自动化——这些场景的特点是：用户是自己人（出问题内部消化）、数据不敏感、坏了能重来。在这个甜区里，vibe coding 的"快"是碾压性优势：传统外包两周的活，你两天交付，报价还更低，客户怎么选不用想。

甜区之外是雷区：碰钱、碰核心生产数据、碰合规强监管行业（金融、医疗、政务），vibe coding 直接上就是找死。不是模型不行，是"责任链"不行——出了事，谁负责？AI 吗？你吗？你的 vibe 代码里，有审计日志吗？有回滚方案吗？有渗透测试报告吗？客户的安全团队问你这三个问题，你答不上来，合同就黄了。

边界一：安全合规是硬门槛，不是加分项

toC 产品，安全是"最好有"；toB 产品，安全是"没有就别谈"。2026 年的企业采购，SOC2、ISO27001、等保，往往是入场券。vibe coding 最大的短板恰恰在这里：AI 生成的代码，默认不考虑安全——SQL 注入、越权、敏感信息硬编码，review 清单（见本批 guide9）里列的那些，toB 场景下每一条都是"一票否决"。

实操建议：接 toB 项目前，先问客户三个问题——"你们有安全 review 流程吗？""数据能出内网吗？""需要过等保/SOC2 吗？"三个都是"是"，那这个项目的真实成本至少是 demo 成本的 5 倍，报价时按 5 倍报，报不下来就别接。toB 项目最大的坑，不是做不出来，是"按 toC 的成本报了 toB 的价格"。

边界二：维护责任是无底洞

demo 是一次性的，交付是长期的。vibe coding 三天写出来的代码，三个月后出 bug，你还记得当初的 prompt 是什么吗？AI 当时为什么这么写，你还有上下文吗？vibe 代码的"可维护性"天生比人写的差——因为它没有"设计意图"，只有"生成结果"。人写的代码烂，但你知道它为什么烂；AI 写的代码，你连它为什么这样写都不知道。

所以 toB 合同里必须明确：维护期多长、响应时间、bug 修复是否收费。最常见的翻车是"包一年免费维护"——vibe 代码第一年的 bug 量，通常是人写代码的 2-3 倍（边界没处理、错误吞了，guide9 里都讲过）。正确的做法是：交付时附带"代码健康度报告"（测试覆盖率、已知 TODO、风险点），维护按"次"或按"月"收费，别按"年"打包票。

边界三：需求变更的计价方式

vibe coding 让"改需求"变得极其便宜——跟 AI 说一句话，半小时出新版。客户发现这点后，需求变更会像雪片一样飞来："再加个导出功能""这个按钮换个颜色""能不能接一下我们的 OA"。

toC 时代你忍忍就过去了，toB 不行——每一次"顺手改"，都在消耗你的利润和时间。必须在合同里写死：什么算"bug 修复"（免费），什么算"需求变更"（收费），变更走什么流程（书面确认+报价+排期）。vibe coding 的"快"在这里是双刃剑：快让客户觉得"改一下很容易"，你必须用流程把"容易"挡回去。

边界四：数据归属和 IP

这是最容易被忽视、爆雷时最疼的一条。vibe coding 的代码是 AI 生成的，训练数据是公开代码——版权归属在 2026 年依然是灰色地带。toB 合同里必须写清楚：交付代码的知识产权归谁？AI 生成部分的权责怎么划分？客户的数据用来"改进模型"了吗（很多 AI 工具默认会）？

实操：合同里加一条"AI 生成代码声明"，明确告知客户"本项目部分代码由 AI 辅助生成"，并约定 IP 归客户、你保留"方法论"层面的复用权。同时，永远不要用客户的真实数据去调 AI——脱敏、 mock 数据先行。这是红线，不是建议。

甜区 vs 雷区：一张对照表

把 vibe coding toB 的场景按"能不能接"排个序：

• 甜区（闭眼接）：内部数据看板、OA 流程自动化、营销落地页、MVP 验证、数据清洗脚本。特点：用户是自己人、数据不敏感、坏了能重来、没有合规要求。这类项目 vibe coding 的交付速度是传统外包的 5-10 倍，报价还可以低 30%——降维打击。
• 黄区（加钱接）：客户-facing 的官网、SaaS 的非核心模块、内部 AI 助手。特点：要见外人，但不碰钱和核心数据。能接，但报价要包含"加固成本"（测试、安全 review、文档），通常是 demo 成本的 3 倍。合同里写清维护边界。
• 红区（别碰）：支付系统、核心交易链路、医疗/金融/政务的核心系统、处理个人敏感信息的系统。特点：出事=赔钱/坐牢/上新闻。vibe coding 不是不能参与，但必须走"全流程工程化"——需求评审、架构设计、安全审计、渗透测试，一个不能少。这时候 vibe 只是"写代码快了点"，其他环节一个都省不了，报价按传统项目报。

判断法则：问"最坏情况"。"这个系统出 bug，最坏的结果是什么？"——答案是"内部群里吐槽两句"，甜区；"客户投诉、要退款"，黄区；"赔钱、违法、上新闻"，红区。按最坏情况定价，按最坏情况签合同。

一个真实报价单拆解：demo 2 天，报价 2 个月

讲一个报价的实例（细节脱敏）：客户要一个"经销商订单管理系统"，demo 2 天做出来了，客户很满意，问"正式版多少钱"。报价单是这么拆的：

• 功能开发：2 周。demo 只有 happy path，正式版要补全边界、异常、权限。vibe coding 快，但"补齐"的工作量是 demo 的 5 倍——这是新手最容易低估的。
• 测试与加固：2 周。单元测试、集成测试、安全扫描、性能压测。toB 客户会问"测试覆盖率多少"，答不上来合同黄一半。
• 文档与交付：1 周。部署文档、运维手册、用户培训材料。toB 交付没有文档等于没交付——客户 IT 部门要接手，看不懂你的 vibe 代码。
• 合规与安全：1 周。等保问卷、数据流图、权限矩阵。哪怕客户现在不要求，把材料准备好，下一单就能复用。
• 维护期：3 个月（含在报价里）。按"响应时间 4 小时、修复时间 2 天"的 SLA 报价，而不是"包一年"。维护成本单独列，让客户看到"维护是值钱的"。

总报价是"2 天 demo 成本"的 15 倍，客户一开始嫌贵。但把报价单逐项讲完，客户签了——因为toB 客户不怕贵，怕"便宜但说不清"。一份把"慢的环节"讲清楚的报价单，本身就是专业度的证明。记住：vibe coding 的竞争力不是"便宜"，是"快+透明"。

合同条款 checklist：7 条必须写进去

toB 合同里，这 7 条不写，等于裸奔：

• □ 需求冻结条款："本合同需求以附件 X 为准，新增需求走变更流程"。没有这条，vibe 的"快"会变成"无限返工"。
• □ 变更计价：变更按"人天"报价，单价写死。小变更（<2 人天）走简易流程，大变更重新排期。
• □ 验收标准：具体、可测试。"系统稳定运行"不算，"连续 7 天无 P0 故障"才算。验收标准越具体，扯皮越少。
• □ 维护 SLA：响应时间、修复时间、维护期限、收费方式。"免费维护一年"这种条款，永远不要签。
• □ 数据条款：数据归谁、存哪、谁能访问、项目结束数据怎么处理。AI 工具的数据流向单独声明。
• □ IP 条款：代码 IP 归客户，你保留"方法论复用权"。AI 生成部分的声明写清楚（见正文边界四）。
• □ 保密与竞业：能不能把"给 A 公司做的系统"改改卖给 B 公司？提前约定，省得以后打官司。我的建议：争取"行业排他"而不是"完全竞业"——前者保护客户，后者饿死你。

报价话术：怎么跟客户解释"15 倍"

"demo 2 天，正式版 2 个月"——客户的第一反应一定是"你们是不是在宰我"。三句话解释清楚：

第一句："demo 是'看起来能用'，交付是'不出事'。"demo 不用考虑并发、不用考虑数据丢了怎么办、不用考虑客户 IT 部门接手。交付要考虑的 80% 工作量，都在"不出事"这三个字里。把"甜区/黄区/红区"对照表（上文）直接给客户看，让他自己选"我要哪个区"。

第二句："慢的环节，恰恰是保护你的环节。"测试、安全扫描、文档、合规——每一项都是在保护客户。测试保护"上线不翻车"，安全保护"不出数据事故"，文档保护"换人能接手"。客户买的不是"代码"，是"不出事的确定性"。vibe coding 省的是"写代码"的时间，省不了"证明靠谱"的时间。

第三句："分阶段付，每阶段可验收。"别报一个总价吓跑客户。拆成"开发 40%+测试 30%+交付 30%"，每阶段结束验收一次再付下一阶段。客户的风险降下来了，你的现金流也稳了。记住：toB 销售卖的不是"便宜"，是"风险可控"。

一句话总结

vibe coding 做 toB，最大的误区是把"demo 的快"当成了"交付的快"。Demo 快是因为没人问你要 SOC2、没人跟你谈维护、没人追究数据责任——toB 的慢，慢的从来不是写代码，是"证明你是对的"（审计、测试、文档、合规）。看懂这个边界，你就能在甜区里赚得盆满钵满：内部工具、MVP、自动化，快就是一切。看不懂，你就会在雷区里被"演示时答应的一切"反噬。记住那句话："演示"和"交付"之间，差了一个 SOC2——而 SOC2，是 vibe 不出来的。