Lovable 做的应用被扒出泄露护照和 20 万条私信，问题出在行级安全没配好

用 Lovable 一句话生成应用很爽，但生成出来的东西安不安全，这次被人认真查了一遍。

有研究人员披露，好几个用 Lovable 搭的应用把用户的护照信息和超过 20 万条私信暴露在外面。Lovable 的安全负责人在讨论里承认，根因是行级安全（RLS）配置不足。

解释一下 RLS 是什么。Lovable 生成的应用，后端一般是 Supabase 的 Postgres 数据库，前端直接通过 Data API 查表。这种架构能不能守住数据，全看每张表上的 RLS 规则写没写、写得对不对：规则缺了，任何拿到前端公开密钥的人都能把整张表读出来。

这类问题不是 Lovable 独有。凡是让前端直连数据库的方案都有同样的坑，只不过以前写这种代码的是程序员，多少知道要配权限；现在写代码的是 AI，用的人可能完全不知道 RLS 这回事。

Lovable 的回应是：平台在应用发布前会自动扫描，还给所有用户免费提供深度静态代码扫描（SAST），发现问题可以一键修复，或者打开后台自动修复。

但几个关键问题没有答案：到底有多少应用受影响，数据暴露了多久，已经发布的老应用能不能被扫描覆盖。手上有用 Lovable 或类似工具做的、已经在收集用户数据的应用，最稳妥的做法是现在就去 Supabase 后台逐张表检查 RLS 有没有开。