无代码平台最难回答的问题，从来不是“能不能做出来”，而是“做出来的东西敢不敢上线”。Lovable 这次给出的答案是：把安全扫描做成默认项。所有账户，包括免费账户，都能拿到默认的安全登录、密钥加密和构建时扫描，不用额外付费解锁，也不用自己翻设置找入口。这一步看着平淡，实际是把安全从“可选功能”挪到了“起跑线”。
按官方说明，每次发布前，平台会依次检查代码、应用逻辑、数据库 schema 和行级安全策略。查出问题会直接标出 Fix 按钮，由 agent 动手修；不想逐条点，可以开启 Auto-fix 让它自动处理。官方点出的最常见毛病是数据访问规则过于开放。这几乎是 AI 生成应用的通用软肋：权限图省事就写成“谁都能读”，上线后就是一个明晃晃的敞口。能把这类问题拦在发布之前，比出事之后再补便宜太多。
但别把默认当成兜底。平台负责的是通用安全基线和已知模式的扫描；业务本身该限制谁、哪些字段不该外露、异常调用算不算正常，这些判断没人能替开发者做。Lovable 这份说明真正的价值，是把责任边界讲清楚了：工具把地基打好，也把问题标出来，最后那道人工复核的闸门还得自己守着。对没有安全背景的 builder 来说，这已经比“相信 AI”靠谱得多，但离“可以不管”还差得远。
