출처: Dev.to

A vibe‑coded Replit 앱은 데모에 버틸 수 있다.
생산 환경에서는 다른 질문을 던진다.
두 사용자가 동일한 엔드포인트에 접근할 때 어떤 일이 일어날까? 한 사용자가 다른 사용자의 레코드를 읽을 수 있을까? Stripe 라이브 키와 테스트 키가 구분되어 있는가? LLM 호출이 비용 발생까지 무한 루프에 빠지는 것을 방지하려면 어떻게 해야 할까?

팀 외부에서 링크를 공유하기 전에 앱을 몇 개의 지루한 파일과 규칙으로 강화하라.
지루함이 여기서는 좋다.
replit.md

Replit 에이전트는 지속적인 지침을 필요로 한다. 없으면 각 프롬프트 세션이 이전 결정에서 벗어날 수 있다.
replit.md 파일을 만들고 이를 작은 생산 계약처럼 다뤄라.

생산 규칙

Security

• 모든 API 엔드포인트는 인증을 검증해야 한다.
• 사용자 소유 자원은 권한을 검증해야 한다.
• 클라이언트 측 코드에 비밀을 노출해서는 안 된다.
• 명시적으로 요청하지 않는 한 공개 엔드포인트를 만들지 마라.

Database

• 스키마 변경은 마이그레이션을 사용해 처리한다.
• 프로덕션 데이터를 직접 수정하지 않는다.
• dev, staging, production 데이터베이스는 각각 별도로 유지한다.

Input validation

• 요청_body 필드에 대해 검증한다.
• 업로드 파일 크기 제한을 설정한다.
• 지원하지 않는 파일 유형은 거부한다.

External services

• 유료 API에는 레이트 한계를 적용한다.
• 제공자가 이를 지원하는 경우에 사용량 제한을 둔다.
• 실패한 웹훅 이벤트는 로그로 남겨야 한다.

Code changes

• 버그를 수정할 때 관련 없는 함수를 다시 작성하지 않는다.
• 요청받지 않은 한 변경은 오직 영향을 받은 파일만 한다.

이것은 이미 생성된 약한 코드를 수리하지는 않지만, 추가적인 손상을 줄인다.
Replit 프로토타입은 종종 비밀, URL, 저장소, 프로세스 동작, 혹은 번들링된 데이터베이스와 같은 Replit 전용인 것을 잊어버리는 경우가 많다.

기본 검색을 시작하라.

grep  -R  "replit" .
grep  -R  "localhost" .
grep  -R  "process.env" ./src
grep  -R  "sqlite" .
grep  -R  "uploads" .

그 후 런타임 설정을 확인하라.

const port = process.env.PORT || 3000;

app.listen(port, "0.0.0.0", () => {
  console.log(`Server running on port ${port}`);
});

앱이 오직 Replit 워크스페이스 내에서만 실행된다고 해도, 그것은 여전히 프로토타입이다.
모든 필요한 변수를 설명할 수 있을 때까지는 마이그레이션을 하지 마라.

DATABASE_URL= SESSION_SECRET= STRIPE_SECRET_KEY= STRIPE_WEBHOOK_SECRET= OPENAI_API_KEY= SENTRY_DSN= APP_ENV=development

touch .env.example
git add .env.example
git commit -m "Document required environment variables"

실제 .env 파일을 커밋하지 마라.
.env
.env.local
.env.production

이 파일이 누락되어 있으면 큰 문제가 발생할 수 있다. 조기에 수정하라.

AI로 만든 앱은 로그인 UI는 완성된 것처럼 보이지만, API는 지나치게 신뢰한다.
UI는 보안 경계가 아니다.

app.get("/api/invoices/:id", async (req, res) => {
  const session = await getSession(req);
  const invoice = await getInvoice(req.params.id);

  if (!session) {
    return res.status(401).json({ error: "Unauthorized" });
  }

  if (invoice.userId !== session.user.id) {
    return res.status(403).json({ error: "Forbidden" });
  }

  return res.json(invoice);
});

그 후 나쁜 경로를 테스트하라.

curl -H "Authorization: Bearer USER_A_TOKEN" \
  https://example.com/api/invoices/USER_B_INVOICE_ID

Expected result:
403 Forbidden

만약 인voice 데이터를 받아오면 추가 기능을 중단하라.

앱은 업로드, 유료 API, LLM 호출 등에 한계를 둬야 한다.

예시 업로드 제한:

const MAX_FILE_SIZE = 10 * 1024 * 1024; // 10 MB

if (file.size > MAX_FILE_SIZE) {
  return res.status(413).json({
    error: "File exceeds 10 MB limit",
  });
}

예시 AI 사용 제한:

if (user.monthlyTokensUsed >= user.monthlyTokenLimit) {
  return res.status(429).json({
    error: "Monthly AI usage limit reached",
  });
}

예시 라우트 레벨 레이트 한계:

import rateLimit from "express-rate-limit";
export const apiLimiter = rateLimit({
  windowMs: 60 * 1000,
  limit: 60,
});

비싼 라우트에 적용한다.

작은 안전장치가 큰 인voice를 구한다.

앱이 작아도 세 가지 별도 환경을 사용한다.
local -> 로컬 데이터베이스
staging -> staging 데이터베이스
production -> production 데이터베이스

최소한의 CI 워크플로우만으로 시작할 수 있다.

name:
on:
  pull_request:
  push:
    branches: [main]

jobs:
  test:
    runs-on: ubuntu-latest

    steps:
       - uses: actions/checkout@v4

       - uses: actions/setup-node@v4
        with:
          node-version: 20

       - run: npm ci
       - run: npm run lint
       - run: npm test

로그인, 결제, 업로드, 비용이 발생하는 AI 흐름 등에 대한 스모크 테스트를 추가한다.

리스크가 낮은 동안 스스로 앱을 강화할 수 있다.
한 번의 잘못된 프롬프트가 사용자 데이터를 노출하거나 실시간 결제를 촉발하거나 프로덕션 데이터를 손상시키거나 고객이 의존하는 워크플로를 깨뜨릴 경우 엔지니어링 도움을 끌어들여라.

MEV는 해당 단계에서 제공업체 옵션 중 하나이다. Their Vibe-Code to Production work는 Replit, Lovable, AI‑built MVPs를 감사하고 인증, 비밀, AI 통합, 관측성, 인프라, 배포를 강화하면서 자동 리라이팅을 강요하지 않는다.

적합한 경우:

• you have a working Replit prototype
• users, money, or sensitive data are involved
• the agent keeps breaking working features
• integrations are half-finished
• you need a rebuild‑vs‑refactor call before launch

생산 URL을 공유하기 전에 다음 사항을 확인하라:

replit.md에 생산 규칙이 포함되어 있다
회사 repo가 존재한다
.env.example 파일이 존재한다
비밀이 코드에서 제외되어 있다
인증이 모든 API 엔드포인트에 적용된다
사용자 소유 레코드는 권한 검증을 받는다
업로드는 크기와 유형 제한을 갖춘다
유료 API에는 레이트 한계가 있다
LLM 호출은 사용량 제한이 있다
staging과 production은 별도 데이터베이스 사용
CI가 배포 전 실행된다
오류는 확인 가능한 곳에 로그로 남겨진다

Replit MVP는 강력한 시작점이다.
생산 환경은 더 엄격한 규칙, 숨겨진 가정 최소화, 그리고 무언가 깨질 때 되돌릴 수 있는 경로를 필요로 한다.

Full original guide: https://mev.com/blog/how-to-get-a-vibe-coded-replit-app-production-ready
MEV production‑hardening service: https://mev.com/services/vibe-code-to-production