AI 编程进阶路线

从编程小白到 AI 编程全栈架构师

这条路线面向没有编程基础、但希望借助 AI 持续交付软件的人。学习者先完成本地工具和可上线网站，再补齐 AI Harness 能力，最终可选择具备一定架构能力的 全栈开发者 或 FDE（Forward Deployed Engineer） 方向。

总览

路线总览：从编程小白到全栈开发者，再经企业级架构成为 FDE
1

本地小工具开发

开发一个减少自己重复劳动的小工具，例如：文档处理、表格数据处理、图片处理等等。

核心能力

必会

2

静态网站开发和上线

开发并上线一个个人主页或公司官网，可以通过域名在任意电脑上访问。

核心能力

必会

3

简单动态网站开发和上线

开发一个可自动更新数据的网站（例如自动爬取其他网站公开信息的垂直新闻聚合网站）

核心能力

必会

4

可交互动态网站开发和上线

相对复杂的多用户可交互网站，例如类似知乎的社区网站，可发布内容（帖子、评论、作品、投稿等）。

核心能力

必会

  • 注册登录与登录态

    • 理解注册与登录：用户凭邮箱、手机号或第三方账号（如微信）证明身份后，系统才知道「当前是谁」；多用户站点的发布、评论、删改都建立在此之上 OWASP：Authentication
    • 理解登录态：HTTP 本身不记住上次请求，需要用会话（session）或令牌在后续请求中携带身份；登出与过期后，服务端应让该登录态失效 OWASP：Session Management
    • 常见入口：邮箱/手机号注册登录做到可用即可；第三方登录按目标用户选择，达到能完成主流程即可，不必先深挖 OAuth 协议细节 OWASP：Authentication
    • 密码与密钥：密码不以明文存库；密钥与会话配置走环境变量，延续第 2 站「不入库、不写进前端可读代码」的习惯；优先使用成熟认证库或托管方案，避免手写加密与会话细节 OWASP：Password Storage 12-Factor：在环境中存储配置

  • 认证（Authentication）与授权（Authorization）分离

    • 认证回答「你是谁」：校验账号口令或第三方登录结果，建立可信身份 OWASP：Authentication
    • 授权回答「你能做什么」：在已确认身份之后，再判断能否读、写、删某一资源；「已登录」不等于「什么都能做」 OWASP：Authorization
    • 请求上的分工：先确认身份有效，再按规则放行或拒绝；未登录与已登录但无权限是两类不同结果，便于排错与向 AI 描述缺陷 OWASP：Authorization

  • 权限模型：谁对什么能做什么

    • 理解主体边界：至少分清访客、登录用户，以及（如需要）管理员；默认无权限，只显式放开必要能力（最小权限） OWASP：Authorization
    • 理解动作与资源：对帖子、评论等内容分别约定读、写、删等动作，而不是只做一个笼统的「会员能进站」开关 OWASP：Authorization
    • 理解对象级权限：改自己的内容 ≠ 改别人的内容；接口若带内容编号，必须在服务端核对「当前用户是否有权操作这一条」，不能只检查「这个人会不会登录」 OWASP：IDOR OWASP：IDOR 预防
    • 起步模型：多数社区型站点从「归属（我创建的）+ 少量角色」即可验收；复杂审核流、细粒度角色体系可延后 OWASP：Authorization

  • 服务端校验：前端不是安全边界

    • 理解信任边界：隐藏按钮、禁用控件、前端路由拦截只改善体验，攻击者可绕过页面直接调接口；真正的读/写/删裁决必须在服务端完成 OWASP：Authorization
    • 每次受保护请求都校验：身份是否有效、对该资源该动作是否允许；默认拒绝未明确允许的操作 OWASP：Authorization
    • 验收方式：用两个真实账号交叉试探（例如 A 尝试删改 B 的内容），确认越权会被拒绝；这是本站「权限隔离可验证」的最低标准 OWASP：IDOR 预防
7

本地技能（Skill）开发

把第 1 站里反复口述的约束与固定流程，收敛成可复用的技能（Skill）：下次同类任务直接调用，不必从头解释。

核心能力

必会

  • 技能是什么、何时值得写 WorkBuddy：技能 Agent Skills 规范

  • 技能的构成 Agent Skills 规范

  • 写法与存放

    • 主说明保持短而可执行；细节放到同目录的参考文件或脚本里，需要时再读（渐进加载，避免一次塞进过长上下文） Agent Skills 规范
    • 稳定、可重复的计算与校验优先写成可运行脚本，由技能指引 Agent 去执行；把「怎么判断、何时停下」留给说明文字 Agent Skills 规范
    • 分清个人技能与项目技能：跨项目习惯放本机个人目录；团队或仓库约定放进项目目录并纳入版本管理 Cursor：Skills 目录
    • 安装第三方技能前核对来源与所需权限；只启用当前任务需要的技能，降低误触发 WorkBuddy：技能
8

定制智能体

配置一个有明确分工的智能体：能自主走完多步、需根据中间结果做判断的任务链；关键节点仍由人确认。包括 Agent 或 WorkBuddy 专家、专家团等。

核心能力

必会

9

熟悉企业级应用架构

前置： 全栈开发者

分析并实现（或演示）一段多角色、长流程、规则交织的业务系统切片，而不只是内容型网站。设计业务架构。

核心能力

必会

附

附录：中国大陆上线准备

面向中国大陆公网提供网站服务时，通常需处理备案类事项。接在 静态网站开发和上线 具备公网地址之后，按托管商与主体类型办理。

细则因主体、接入商与业务类型而异；需要时另查合规材料，不必在学会建站之前先行穷尽。