Lovable:把「合规与治理」做成产品能力的全栈生成平台
lovable
Lovable 是闭源全栈生成里治理面最完整的一条:SOC 2 Type II、ISO 27001:2022、AIUC-1、SSO/SCIM/强制 2FA、审计日志与敏感数据扫描,外加一个按 connector 三档授权的 agent 权限统一页;Git sync 覆盖 GitHub/GitLab/Bitbucket,官方明写代码所有权归你。接入面也宽:桌面/移动 app、Slack 与 Telegram、MCP server、REST API,应用内可挂 GPT Image 2.5 与 Jev 判定模型,数据侧有 Power BI/WhatsApp/Parallel/Firecrawl 连接器。边界同样清楚:credit 三笔账且不透明、关键能力压在 Business/Enterprise、共享 Supabase 只警告不阻止、没有任何公开的生成质量基准。
- 置信度
- 厂商宣称
- 只有官方模型卡/发布会,无独立复测
- 关键指标
- 合规认证
- 厂商宣称 · 2026-09
- 成熟度
- 产品
- 研究 → 演示 → 产品 → 生产
编辑判断同赛道里能「生成一个 app」的产品已经很多,真正拉开差距的是生成之后这套东西能不能进企业。Lovable 把力气花在治理上:SOC 2 Type II、ISO 27001:2022、AIUC-1、SSO/SCIM/强制 2FA、审计日志、敏感数据扫描,以及一个把「AI 可以不经询问替我做什么」显式化的 agent 权限统一页(每个 connector 三档:Always allow / Ask each time / Never allow)。这是把它列进 code 域梯顶的核心理由——不是因为它生成得更好,而是因为它是这批产品里唯一把合规做成了产品能力的。
第二点是代码所有权。Git sync 覆盖 GitHub / GitLab / Bitbucket,官方文档里明写「Keep full ownership of your code」并单列 Ownership & portability 一节。对必须把代码纳进自己 CI 与 review 制度的团队,这一条比任何生成质量宣传都实际:能同步出来的代码库,才是能长期维护的资产。
三点如实说明。第一,认证证明的是流程,不是产出质量:SOC 2 / ISO 27001 / AIUC-1 说的是安全控制与管理体系,与「生成的代码好不好」是两件事,很容易被混为一谈;Lovable 没有任何公开的生成质量基准,卡片置信度因此是 C 级(厂商宣称),且没有索取合规报告原文核对范围与有效期。第二,credit 经济学不透明:聊天、build、Run credits 是三笔账,官方不给单位任务的参考消耗,多连接器叠加时一次对话可能同时扣多类 credit,尚未实测。第三,关键能力压在高档位:API 建 key、SCIM 锁定、强制 2FA、分组默认设计系统都在 Business/Enterprise,小团队实际拿到的治理面明显更窄;另外共享 Supabase 会互相覆盖 secrets,官方只警告不阻止,多人 workspace 需要自己立规矩。
它到底交付什么
Lovable 对自己的定位是「a full-stack AI development platform」——用自然语言构建、迭代并部署 Web 应用,产出可编辑的真实代码,覆盖前端、后端、数据库、认证与集成。它的组织模型有四个词必须分清:Account(跨 workspace 的个人身份)、Workspace(装项目、成员、账单与共享 credit 池)、Project(一个应用 = 一个代码库,恰好属于一个 workspace)、Chat(项目之外的对话,用来想清楚、问问题、操作已连接工具,需要动手时把活儿派给某个 project)。
这个 Chat / Project 的分离是 2026-09-21 才成型的,不是包装话术:Chat 里的工作不改代码,项目内则有一个 Chat mode(模式选择器里的 Chat 选项)——它讨论当前打开的应用但不动代码,真要改时给一张 Start building 卡片。计费也跟着分:每条消息按 Lovable 为回答它所做的事计价,通常是一小份 credit,Free / Pro / Business 档每天有免费聊天额度;Chat 派给 project 的活儿才花 build credits。计划按 credits 计价,不按项目数也不按席位。
代码所有权与工程接入
这是它与纯 no-code 平台的分水岭:Git sync 支持 GitHub / GitLab / Bitbucket,项目产出的代码库可以同步进既有工程流程,由工程团队 review、扩展与维护。官方给的工作流是四步:描述 → 迭代 → 发布到线上 URL → 需要把代码放进自己管线时同步到 Git,按自己的标准部署与治理。文档里明确写了「Keep full ownership of your code」与 Ownership & portability 一节。
接入面比多数同类宽:除浏览器外还有桌面与移动 app,可在 Slack 或 Telegram 里与 Lovable 对话,能从 ChatGPT 起项目,并提供 Lovable MCP server(https://mcp.lovable.dev,2026-09-11 起支持任何跑在本机、支持 OAuth 的 MCP 客户端)让外部 AI 工具直接驱动它。2026-09-17 起还有 Lovable API:列出与更新项目、发布/下线、把项目预览嵌进自己的产品、读取 workspace 的分析与安全扫描;建 key 需要 Business 或 Enterprise 档 + owner/admin 角色,集合已上架 Postman API Network。
企业治理:这一块是它真正的差异化
同赛道里「能生成 app」的产品很多,把合规与治理做成产品化能力的很少。Lovable 文档列出的认证与标准是 SOC 2 Type II、ISO 27001:2022、AIUC-1(面向 AI agent 的安全/可靠标准)与 GDPR 合规。身份与访问侧:workspace 级角色与权限、2FA、SSO、SCIM 用户开通、workspace groups。平台治理侧:workspace 级管理与控制、内置安全检查与指引、Security center 的全 workspace 安全视图、审计日志、Insights 里的采用度指标、敏感数据扫描、数据使用控制与 opt-out。
| 治理能力 | 细节 | 上线时间 |
|---|---|---|
| SSO 证书轮换 | SAML provider 可加多张签名证书,新旧并存期间两边签名都接受,便于先加新证书再撤旧的;OIDC 可记录 client secret 到期时间 | 2026-09-11 |
| 成员锁定到 IdP | 启用 SCIM 后,包括 admin/owner 在内都不能在 Lovable 里邀请、批准入或移除成员(改角色不受影响) | 2026-09-11(Enterprise) |
| 强制 2FA | 未设置者下次使用 workspace 时被要求设置 | 2026-09-11(Enterprise) |
| agent 权限统一页 | Settings → Your account → Preferences → Agent permissions 一处审改所有权限;每个 connector 可选 Always allow / Ask each time / Never allow;存到账户、跨 workspace 生效 | 2026-09-21 |
| 分组默认设计系统 | Business/Enterprise 的 admin 可为某个 group 设默认设计系统,成员建项目时预选,替代 workspace 默认 | 2026-09-21 |
| 训练数据排除 | Business/Enterprise 的 workspace 数据默认已排除在 AI 模型训练之外;因此把冗余的 workspace 级开关直接删掉了 | 2026-09-15 |
其中 agent 权限统一页值得单独指出:它把「AI 可以不经询问替我做什么」变成一个可审计、可按 connector 设三档的显式配置,而 Telegram 侧的规则是读取已连接工具不问、但通过工具创建/发送/修改任何东西之前必须在 chat 里给一张 Permission needed 卡片求批准。这条读/写不对称的权限模型,比笼统的「AI 帮你自动化」可信得多。
应用内 AI 与数据连接
它生成的 app 本身可以带 AI 能力:2026-09-15 起接入 GPT Image 2.5 Flare(快,用于预览与应用内图像编辑器)与 GPT Image 2.5 Sunburst(最高质量,用于最终资产),两者都能出透明背景的 PNG/WebP;2026-09-21 起接入 TypeSafe 的 Jev——一个返回类别、分数或是/否概率而非生成文本的「typed decision model」,官方给的用途是工单分诊、内容审核、路由与搜索排序。这个方向有意思:它承认很多业务决策要的是可判定的结构化输出,不是自然语言。
数据与外部系统侧靠 Connectors:2026-09-15 的 Power BI 连接器可以用 DAX 查报告背后的语义模型,复用 BI 团队已维护的度量,使 app 里的数字与报告一致,并支持 per-user 访问(每个使用者用自己的 Microsoft 工作账号登录,只看到 Power BI 允许的行);同批还有 WhatsApp Business(收客户消息、用企业号回复、按已审核模板发通知、跟踪 sent/delivered/read)。2026-09-22 的 Parallel 连接器给应用接上实时网页检索、把公开页面/PDF 读成干净文本、带引用的研究问答与结构化 deep research。多个连接器提供 Managed by Lovable 选项:不需要自己的账号或 API key,用量按 Run credits 记到拥有该项目的 workspace(Firecrawl 2026-09-18、Perplexity Search 2026-09-17)。
产出面的宽度
官方列的可建范围远超「Web 应用」:原型与 PoC、SaaS 与业务应用(订阅产品、客户 dashboard、admin 面板、CRM、客户门户、多用户应用)、内部工具(替代 spreadsheet 与按席位付费的软件)、dashboard 与数据可视化、marketplace 与电商、面向消费者的 Web 应用、AI 应用(聊天机器人、助手、内置图像生成与语义检索)、网站与营销页、教育工具、简单的 Web 游戏与互动内容。还包括演示文稿、报告与文档(浏览器内演示的 pitch deck,以及生成的 PDF 报告、表格、Word、PowerPoint 文件)与图像/视频/设计资产(生成与编辑的图像、logo、社媒图、短视频)。
边界与失败模式
- credit 经济学需要自己算:计划按 credits 而非席位,聊天、build、Run credits(托管连接器用量)是三笔不同的账。多连接器叠加时,一次「查网页 + 生图 + 跑 DAX」的对话可能同时消耗多类 credit,官方没有给单位任务的 credit 参考值。
- 关键能力压在高档位:Lovable API 建 key 要 Business/Enterprise + owner/admin;SSO 证书轮换、SCIM 锁定、强制 2FA、分组默认设计系统都在 Business/Enterprise。小团队能用的治理面明显更窄。
- Supabase 共享是真坑,且它只警告不阻止:2026-09-11 起当你连接自己的 Supabase 项目时,若另一个 Lovable 项目已在使用它会给出警告——共享同一个 Supabase 项目会互相覆盖 secrets 并弄坏彼此的集成。官方明确写了这个警告不阻止你连接。多人协作 workspace 里需要自己立规矩。
- 没有任何公开的正确性/质量基准:文档给的是能力清单与合规认证,不是生成质量的量化结论。认证(SOC 2 / ISO 27001 / AIUC-1)证明的是流程与安全控制,不等于产出代码质量,这两件事很容易被混为一谈。
- 迭代节奏快 = 文档易过时:changelog 近乎每个工作日一条(2026-09 一个月里 9/1、9/2、9/3、9/4、9/7、9/8、9/9、9/10、9/11、9/15、9/16、9/17、9/18、9/19、9/20、9/21、9/22 都有条目)。写死集成方式的团队要做好跟着改的准备。
我们的复现计划
要把这条从 C 级(厂商宣称)提到 A 级(已确认),需要三件事:用同一份需求跑一个带认证与数据库的内部工具,统计端到端 credit 消耗与返工轮次;把 Git sync 出来的代码库拉进真实 CI,看它是否经得起 lint/测试/构建;核对 SOC 2 Type II 与 ISO 27001:2022 报告的实际范围与有效期(文档只给了名称与「View compliance reports」入口,我们没有索取报告原文)。这三项跑完之前,卡片上的读数请按「厂商说的」理解。