用 Vibe 授课

无论是工作坊、集训营、班级制课程还是企业内训，开展 Vibe 所需的一切都在这里。每种形式的课程内容都一样，变的只是深度和时长。

选择授课形式

每节课都按同样的四个环节来上

每个模块都是按这个节奏写的。守住节奏，课堂自己就能转起来。

1. 学（15 到 20 分钟）。 先讲真实事故，再讲概念。事故制造需求，概念给出答案。
2. 建（60 到 90 分钟）。 学员用模块末尾的提示词包指挥自己的 AI 工具。你以技术负责人的身份在教室里巡视，不停地问："你怎么知道它能用？"
3. 破（30 到 45 分钟）。 学员按照实验步骤攻击自己的作品，或者和搭档互换着攻击。实验经过专门设计，AI 的第一版会在这里失败。真正的学习就发生在这一步。
4. 证（15 分钟）。 学员在自己的 Vibe 账户里勾选完成标准（Definition of Done），并附上证据：测试输出、扫描报告、截图。没有证据，就不算通过。

少讲，多破。大部分价值都在第三个环节。

入门代码库：Ledgerly

Ledgerly 是一个小型多租户开票应用，以一份需求规格加一套代码骨架的形式提供。学员让自己的 AI 逐个实现功能。14 项安全验收测试定义了什么叫"安全"：访问控制、注入、密钥、XSS、rate limiting、密码存储、N+1 查询、超时、webhook、race condition（竞态条件）、SSRF、prompt injection（提示词注入）、错误处理和 CORS。

每项测试都会一直失败，直到对应功能被安全地实现为止，而 AI 的第一版通常至少会挂掉其中一项。那一刻就是这堂课。学员运行 npm run score，看着分数从 0 / 14 一路涨到 14 / 14。这让每个班级都有相同的起点，进度也能直接显示在投影上。

下载入门代码库

学员规则： 每个功能都用 AI 助手来实现，接受之前逐个读完每一处 diff，并且绝对不要改测试。

第一场工作坊，一步一步来

1. 提前两周。 给学员发送环境检查清单：Node.js 22 或更高版本、一个可用的 AI 编程工具（Claude Code、Cursor 或类似工具），以及用 npm install 装好的入门代码库。
2. 场地布置。 一台投影仪放工作坊讲义，另一台放实时计分板。稳定的 Wi-Fi 比什么都重要。
3. 当天。 按照工作坊讲义进行。里面有带时间安排的流程和演讲者备注（按 N 查看）。
4. 结束后。 发送上线就绪检查清单的链接，并邀请学员参加集训营。趁印象还新鲜，请每人写一句反馈。

用学员自己的应用开展集训营

第一天讲安全与数据（Module 03、05、06）。第二天讲可靠性与交付（Module 07、08、11、12、13）。每位学员拿自己的产品逐项完成上线就绪检查清单的 Gate 1，并在 Vibe 账户里记录证据。只有当 Gate 1 的每一项都有证据时，才颁发 Vibe Builder（L1）认证。

两条实操提醒：真实应用里有真实的密钥，所以共享屏幕之前，先做一次密钥扫描，把泄露的密钥全部轮换掉；另外要事先约定，课程期间任何人都不得在生产环境上执行修复。

开展企业版课程

• 把 AGENTS.md 模板采纳为组织内每个代码仓库的规则文件。
• 把 Production Readiness Checklist（上线就绪检查清单）采纳为发布关卡。
• 按学期推进课程，结业项目在客户自己的安全、工程和风控负责人面前答辩。
• 用 DORA 指标按团队汇报前后对比的进展。

考核与认证

保留一票否决规则。认证只有在难以造假时才有价值：git 历史里出现密钥、跨租户访问数据，或者 agent 未经批准执行不可逆操作，都意味着该模块不通过。

带课技巧

• 多问"你怎么知道？"，少做讲解。这能培养最重要的那个习惯。
• 为发现的 bug 喝彩。在自己作品里找到漏洞的学员，做的正是专业人士在做的事。
• 当学员的 AI 给出错误的修复时，把它投到屏幕上。这是你能遇到的最好的教学时刻。
• 现场演示只用一种 AI 工具。混用工具会让课堂变成技术支持现场。