AI 助手常用的启动模板：Demo 专用，上生产有坑

starter template 的优化目标

大多数公开的 starter template 存在的意义是消除新手用户的上手阻力。这意味着：

开箱即用的认证机制，通常附带一个默认管理员账号或种子用户

保留示例 API 路由以便展示模式用，有时还包含 debug 或测试端点

宽松的 CORS 设置，让演示在本地搭建期间从任意 origin 都能运行

.env.example 文件中填充的是占位值，看起来足够像真实配置，结果被人复制过去后只填了一半

这些都不是 template 的 bug。对于一个起点来说，这是合理的选择。问题在于，这些选择本意是在上线前被替换掉的，而「上线前替换」这一步依赖你记得去做。

AI 助手让问题变更糟，而非更好

AI 助手基于 template 脚手架搭建时，优化目标和 template 作者一样：让东西跑起来。如果移除它不在你的指令里，它会愉快地保留种子管理员账号。它会保留 debug 路由，因为删除它不是任务目标。它只是在做你要求的事。你要求一个能跑的 app，template 已经给了它一个能跑的样子。

这个 gap 并不新鲜。开发者用默认凭证依然生效的模板 fork 出来的代码上线已经好多年了。改变的是速度。以前需要一天来改写的模板，现在可以一下午就完整接入真实数据库并推到 production，这意味着「上线前替换」这一步也必须同样快速地完成，否则就会被跳过。

在接入真实用户前检查什么

在基于模板构建的 app 接触真实客户数据之前：

查找任何由 template 本身附带的账号、key 或凭证，而不是你创建的。轮换或移除它。

检查模板包含的每一个路由，不只是你基于它构建的那些。如果不是你写的且你不用，就删掉。

确认 CORS 和认证设置匹配你的实际部署场景，而不是模板的本地开发默认值。

检查完整的 git 历史，不只是当前文件。模板的默认 .env 有时在初始化期间提交一次后，却从未从历史中彻底清除。

如果你想要一双额外的眼睛来审视这件事，RepoFortify 可以扫描仓库（包括完整的提交历史）查找这类遗留物。免费试用，无需安装。

模板是一条真正的捷径。它无法捷径的是——在真实用户到来之前决定什么该留、什么该删。这个决定依然由你来做。