还真被他们审计出来不少的问题

而且改了之后又有新问题

但是总体而言是越来越安全了。

我就说用AI做vibe coding要渐进式的，组件式的开发。

像我现在这样，后端的代码和技术栈都已经非常固定，后端还有一个庞大的drupal社区作为开源贡献社区。

至少这样子后端就稳固了，至少drupal这个系统的CVE还是比较少的，而且也有core的及时安全覆盖。我感觉drupal的安全政策挺好的，现在11.x的版本，那么安全覆盖到11.x+2。所以说drupal作为一个企业级的CMS,被美国那么多大学和政府部门网站采用，不是没有道理的。

现在我只要关心后端drupal开放的API和前端的通讯安全，以及前端的代码安全就行了。

最好的安全就是不要泄露端口。

记得开发cas.wangjueju.cn的时候，开始gemini设计的竟然是让用户浏览器直接请求drupal后端的api去获得用户的tokens。

我问它我不是要把我的后端drupal彻底隐身在内网吗？你外部的浏览器怎么可能直接访问到我的后端的api拿用户的tokens呢？如果直接让你前端的浏览器访问我后端的数据，那我做headless的CMS，和前后端解耦分离的架构干嘛呢？gemini被我讲得连连称是。

然后它又重新从前端的app里面重新用ts写与后端通讯的路由和代理程序。

最后实在没办法了，对于某个特殊的用户凭据provider，又在后端写了一个自定义的module，来完善与前端的凭据交换。

所以我现在对我的系统的安全性比较有信心的一点就是，后端它是完全对外隐身的，要接触我的后端的端口，你必须和它在一个服务器或者同一个加密的内网，通过特定的非通用的端口，才能通讯。

之前有人问vibe coding有什么奇技淫巧。

我觉得这就是一个最重要的奇技淫巧，锁定后端，锁定网络架构。

很多人说什么AI让小白也能编程，编当然是可以编的。以AI那尿性，“我给你写个这个实现”“我给你写个那个实现”。都是一堆的脚本，脱离了具体的生产环境与工程技术体系。