搵唔到啱用 app？用 AI coding agent 整件只服務自己嘅小工具
由寫清用途到本機部署，私人自動化可以由細做起
完美 app 搵極都搵唔到，可能因為需求得你先有
XDA Developers 作者 Rich Edmonds 分享咗一個幾典型嘅 home lab 經驗：現成自架軟件功能好多，偏偏總有幾個位唔啱自己，最後索性叫本機 LLM 幫手，砌出高度個人化嘅工具。佢個案例牽涉投資、退休金同家庭帳戶，資料敏感度太高，唔適合新手照跟。不過背後個方向幾實際：AI coding agent 最有用嘅位置，往往係幫你解決規模細、需求怪、冇商業價值嘅私人問題。
呢類工具唔使追求十萬個用戶、漂亮 onboarding 或跨平台支援。每日幫你按規則改二百個檔名、記住雪櫃同儲物櫃有咩、將幾部 NAS 嘅容量同服務狀態放埋一頁，已經可以慳返唔少時間。功能愈窄，輸入、輸出同出錯情況就愈容易講清楚，coding agent 亦較容易整到一個你驗證得到嘅版本。
圖片：Wikimedia Commons — LrgFranzones（CC BY-SA 4.0）
由一句想法開始，但個 prompt 要寫到可以驗收
可以先揀一件重複又低風險嘅工作，寫低資料由邊度嚟、要點處理、最後顯示或輸出咩。以檔案改名為例，prompt 唔好淨係話「幫我整個相片整理 app」；要講明讀取邊個資料夾、檔名格式、撞名點處理、可唔可以預覽、確認前絕對唔准改檔。最好再畀幾組假資料同預期結果，叫 agent 先整最細版本同測試，之後逐項加功能。
第一輪生成完成後，至少要睇清楚專案有咩檔案、裝咗咩套件、資料存喺邊，同埋有冇自動刪除或覆寫內容。OWASP 嘅 AI secure coding 指引特別提醒，AI 可能建議不存在、過時甚至有已知漏洞嘅依賴套件，所以唔應該見到 npm install 或 pip install 就直接照跑。睇唔明某段會改檔、連網或處理密碼嘅程式碼，就叫 agent 拆細解釋，再用測試資料驗證。
部署先由一部機開始，LAN 已經係第二級難度
最穩陣嘅起步方法係只喺自己部電腦運行，用 localhost 開網頁介面，所有測試都用假資料。確認功能穩定後，先考慮用 Docker Compose 搬去 NAS、mini PC 或 Proxmox 入面嘅 container，設定固定資料目錄、備份同重啟方法。想畀屋企其他裝置使用，就只開畀可信 LAN，另外用防火牆限制來源；屋企 Wi-Fi 有訪客或 IoT 裝置時，亦可以分開網段。
「放咗入 Docker」唔代表外面一定入唔到。Docker 官方文件寫得好清楚，發佈 port 時如果冇指定 host IP，預設可以綁到主機所有 network interface；設成 127.0.0.1 就只限主機自己存取。路由器 port forwarding、Cloudflare Tunnel、反向代理同 IPv6 防火牆亦會改變暴露範圍，唔肯定每一層做緊咩，就唔好開放上網。
有幾類功能，新手唔好交畀 vibe coding
涉及網上銀行、投資資料、醫療記錄、公司客戶資料、付款、門鎖、閉路電視控制，或者有權大量刪檔嘅工具，都唔適合當練習。帳戶登入亦唔係加個密碼欄就完成，背後仲有密碼儲存、session、權限分隔、暴力破解防護同重設流程。2026 年一份研究 vibe-coded app 嘅論文亦發現，常見問題包括臨時 placeholder 邏輯、未過濾輸入同 secret 外洩；改善 prompt 可以減少問題，但清唔晒風險。
私人小工具真正吸引之處，係你可以接受介面簡陋，只保留每日用得着嘅兩三個功能。不過維護責任一樣跟住你：套件要更新、資料要備份、agent 改完設定要睇 diff，壞咗亦要知道點還原。由檔案預覽、家居庫存或唯讀 NAS dashboard 開始，整到個工具穩定易用，就算壞咗亦可以隨時刪咗重整，已經夠實用。
參考來源
- XDA Developers — The best self-hosted apps are the ones you build yourself; it's why I stopped searching for perfect software — original report
- OWASP Secure Coding with AI Cheat Sheet — 核對 AI 建議依賴套件、secret、agent 權限同人工審查風險
- Docker：Port publishing and mapping — 核對容器發佈 port、綁定所有 interface 同只限 localhost 嘅行為
- Understanding the (In)Security of Vibe-Coded Applications — 補充 vibe-coded app 常見漏洞模式同 prompt 改善嘅限制
- OWASP Top 10:2025 — Inappropriate Trust in AI Generated Code — 補充 AI 程式碼審查責任，同避免用喺複雜或關鍵功能嘅建議
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
