Vibe Codingで、最後に人間が必ず確認している箇所

このコミュニティでは、AIに実装を任せても次の3箇所は人が境界を決めています。

• 認証・公開範囲：管理者、参加済みメンバー、未参加アカウントの違い。今回、管理者には投稿権限があるのに公開プロフィールだけ404になる不整合を、人が本番アカウントで見つけました。修正後は「管理者またはactive memberだけ公開」「一般の未参加アカウントは非公開」を回帰テストにしています。
• 外部URL取得：リンクカードは便利ですが、任意URL取得はSSRFの入口になります。http/https限定、認証情報・私用IP・独自ポート拒否、リダイレクト先の再検査、5秒タイムアウト、読取量上限を人が要件として固定しました。
• 破壊的操作と本番確認：D1変更、招待期限、削除・非表示、デプロイ先はAIの推測で決めず、対象を読み取り確認してから実行します。

コードレビューの単位をファイルではなく「権限境界」「ネットワーク境界」「データ境界」にすると、生成コードでも確認漏れが減りました。