نکات کلیدی
- خروجی بومی فارسی و تقویم جلالی: کُندا و Lovable تنها ابزارهایی بودند که فونت وزیرمتن، ارقام فارسی و تقویم شمسی را بدون هیچ خطایی پیاده کردند؛ در حالی که v0 فونت تاهوما و ۶ روز خطای تاریخی داشت و Bolt دکمه ثبت نامرئی ساخت.
- زیرساخت ابری پایدار و بدون تحریم در ایران: وب‌اپ‌های کُندا روی سرورهای ابری داخل کشور میزبانی می‌شوند و برای کاربران نهایی در ایران بدون فیلترشکن و با بالاترین سرعت در دسترس‌اند؛ سرویس‌های خارجی مانند Supabase و Neon همواره با خطر تحریم و مسدودسازی مواجه‌اند.
- پرداخت ریالی در برابر اشتراک‌های دلاری: کُندا پرداخت مستقیم تومانی با کارتهای شتاب دارد و پلن‌های ارزون‌تر دارد؛ در حالی که ابزارهای خارجی مستلزم کارت اعتباری بینالمللی و پرداخت ماهیانه ۲۰ تا ۲۵ دلار به علاوه کارمزد پرداخت‌کننده هستند.
- دیتابیس ساختاریافته و کنسول زندهٔ SQL: کُندا یک پایگاهدادهٔ اختصاصی و مستقل (PostgreSQL در استقرار نهایی) همراه با کنسول زندهٔ SQL در داشبورد و لایهٔ امن API تحویل میدهد؛ در حالی که خروجی Bolt با وجود اتصال به Supabase، سیاستهای امنیتی RLS را برای تمام کاربران ناشناس باز گذاشته بود و ریسک نشت یا حذف آزادانهٔ اطلاعات را داشت.
- کد مدرن React و توسعه با Forge: پروژه در کُندا با استاندارد روز React و HashRouter در ساختاری ۲۳ فایلی پیاده‌سازی شده و آماده توسعه با ابزار Forge و ابزارهای ادیت ویژوال کُندا است.
وقتی ایده‌ات را با وایب کدینگ می‌سازی، فقط قدرت مدل هوش مصنوعی مهم نیست. مهم این است که ابزار با فضای واقعی وب ایران و نیازهای کاربر جور باشد: فارسی و راست‌به‌چپ (RTL) را اصولی بسازد، تقویم شمسی و ارقام فارسی را درست پیاده کند، دیتابیس پایدار تحویل بدهد و روی شبکهٔ ایران بدون اختلال باز شود.
بیشتر مقایسه‌های ابزارهای وایب کدینگ، مثل Lovable (لاوبل) و Bolt (بولت)، صرفاً ترجمهٔ فهرست ویژگی‌ها هستند و نیازهای بومی توسعه‌دهندگان ایرانی را نمی‌سنجند. یک پرامپت فارسی را روی Lovable، Bolt.new، v0 و کُندا اجرا کردیم و از نظر راست‌به‌چپ (RTL)، امکانات و فهم زبان فارسی، امنیت دیتابیس، زیرساخت، راحتی استفاده و تجربه کاربری سنجیدیم. نتیجه با اسکرین‌شات.
پاسخ کوتاه: کُندا و Lovable بهترین خروجی زبان فارسی، فونت وزیرمتن، ارقام فارسی و تاریخ شمسی دقیق را تحویل دادند. مزیت استراتژیک کُندا این است که روی سرورهای ابری داخل ایران میزبانی می‌شود، بدون نیاز به فیلترشکن برای کاربر نهایی باز می‌شود، دیتابیس ساختاریافته با کنسول زندهٔ SQL، لایهٔ امن API و پلن‌های ارزون‌تر با پرداخت مستقیم شتاب دارد. در مقابل، v0 فونت و تاریخ را نادرست ساخت؛ و Bolt اگرچه دیتابیس خودکار تولید کرد، اما دکمهٔ ثبتش نامرئی بود و حفره‌های امنیتی جدی در سیاستهای RLS داشت.
شرایط و فرضیات آزمون
این آزمون‌ها با یک سناریوی استاندارد در مهر ۱۴۰۵ انجام شد تا مشخص شود هر ابزار در مواجهه با یک نیازمندی واقعی فارسی چه عملکردی دارد.
پرداخت و دسترسی نیز بخش مهمی از معادله است: ابزارهای خارجی (Lovable و Bolt) صرفاً با کارتهای بینالمللی و حساب Stripe کار می‌کنند و مستلزم پرداخت ماهیانه ۲۰ تا ۲۵ دلار به علاوه کارمزد پرداخت‌کننده هستند. علاوه بر این، سرویس‌های پایگاه داده آنها (مانند Supabase و Neon) به دلیل تحریم‌ها برای کاربران داخل کشور همواره با ریسک قطع روبه‌رو هستند. کُندا تنها گزینه‌ای است که پرداخت ریالی تومانی، پلن‌های اقتصادی و زیرساخت ابری پایدار و بدون تحریم دارد.
سناریوی آزمون: یک پرامپت، چهار ابزار
پرامپت را عمداً از جنس نیازهای واقعی کسب‌وکارها انتخاب کردیم: سیستم رزرو نوبت با تقویم شمسی، راست‌به‌چپ، فونت استاندارد، اتصال دیتابیس و پنل مدیریت مجزا.
«یک وب‌اپ رزرو نوبت برای آرایشگاه مردانه بساز. صفحهٔ اصلی فهرست خدمات را با نام، مدت و قیمت به تومان نشان بدهد. کاربر آرایشگر، روز و ساعت را با تقویم شمسی انتخاب کند و با نام و شمارهٔ موبایل نوبت ثبت کند. رابط کاملاً فارسی و راست‌به‌چپ باشد، با اعداد فارسی و فونت وزیرمتن. یک صفحهٔ مدیریت هم بساز که صاحب آرایشگاه نوبت‌های امروز را ببیند. جلوی رزرو دو نفر در یک ساعت را بگیر.»
چهار مرحلهٔ آزمون، هر مرحله جدا نمره می‌گیرد
اجرای پرامپت
همان متن، بدون ویرایش. زمان ساخت و مصرف اعتبار را یادداشت می‌کنیم.
نگاه به خروجی
جهت صفحه، ارقام، فونت، قالب قیمت و تاریخ شمسی. «امروز» را با تقویم واقعی مقایسه می‌کنیم.
ثبت یک نوبت واقعی
یک خدمت، یک آرایشگر، یک روز و ساعت، و نام و موبایل آزمایشی. بعد می‌بینیم ساعت پر در رابط بسته می‌شود یا نه.
بارگذاری دوباره
صفحه را رفرش می‌کنیم. اگر نوبت ثبت‌شده برنگردد، یعنی داده جایی ذخیره نشده است.
تحلیل عملکرد هر ابزار
۱. کُندا (Konda)؛ قدرت بومی وایب کدینگ در ایران
همان پرامپت را در داشبورد کُندا اجرا کردیم. در حدود ۳ دقیقه، پروژه به‌طور کامل بیلد شد و دو بخش تفکیک‌شده و کاربردی تحویل داد: بخش عمومی «رزرو نوبت مشتری» و بخش «مدیریت امروز».
بخش مشتری و رزرو نوبت:
- جهت صفحه کاملاً راست‌به‌چپ، زبان فارسی، فونت رسمی وزیرمتن و اعداد کاملاً فارسی با جداکننده هزارگان («۱۸۰٬۰۰۰ تومان»).
- فهرست خدمات با آرایشگرها و نوار روزهای شمسی که با «امروز ۱۷ مهر» شروع شد و دقیقاً با تقویم رسمی تطابق داشت.
- پس از ثبت نوبت، پیام تأیید کامل با زمان و نام آرایشگر صادر شد و ساعت رزروشده در سیستم ثبت ماند.
بخش مدیریت و داشبورد ادمین:
- کُندا یک داشبورد جامع «برنامهٔ امروز» ساخت: شمارنده‌های آماری کل نوبتها، لیست آرایشگران و جدول نوبتها با مشخصات مشتری و منوی تغییر وضعیت («تأیید شده»، «انجام شد»، «لغو شده»).
- برای راحتی تست و بررسی رابط کاربری توسط توسعه‌دهنده، یک دکمهٔ «ورود پیش‌نمایش مدیر» تعبیه شده تا در ثانیه‌های نخست پس از ساخت بتوان تجربه کاربری مدیریت را ارزیابی کرد. برای نسخه نهایی تجاری، سیستم احراز هویت با ایمیل یا پیامک با یک کلیک در کُندا فعال می‌شود تا ورود ادمین کاملاً محافظت گردد.
- مسیرهای مستقیم API برای دسترسی‌های ناشناس بسته هستند و با خطای ۴۰۱ محافظت می‌شوند.
پایگاه‌داده ساختاریافته و دیاگرام جداول:
کُندا یک پایگاهدادهٔ اختصاصی و مستقل (PostgreSQL در استقرار نهایی) همراه با کنسول زندهٔ SQL در داشبورد و لایهٔ امن API تحویل میدهد. در دیاگرام دیتابیس ابری کُندا، ۵ جدول فعال (service, barber, booked_slot, appointment, user) به‌صورت کاملاً ساخت‌یافته همراه با مجموع ۲۳ ردیف رکورد پیش‌فرض تشکیل شده است. همچنین اندپوینت‌های مستقیم REST API برای ارتباط بی‌درنگ فرانت‌اند و بک‌اند به‌طور خودکار فعال شده‌اند.
ویرایشگر زنده SQL در کنسول ابری:
توسعه‌دهنده به یک کنسول زندهٔ SQL مستقیماً در داشبورد کُندا دسترسی دارد. همان‌طور که در تصویر زیر مشخص است، با اجرای یک کوئری ساده نظیر SELECT * FROM service; فهرست کامل خدمات، مدت زمان، وضعیت فعال بودن و قیمت‌ها به تومان بازگردانده می‌شود. این یعنی برخلاف ابزارهایی که دیتابیس را پنهان می‌کنند یا دسترسی مستقیم نمی‌دهند، در کُندا کنترل ۱۰۰٪ داده‌ها در دست شماست و می‌توانید جداول جدید بسازید یا ردیف‌ها را ویرایش کنید.
معماری کد و پایگاه کد ماژولار (۲۳ فایل):
کد مدرن React: پروژه با استاندارد روز React و HashRouter پیاده‌سازی شده و آماده توسعه با ابزار Forge و ابزارهای ادیت ویژوال کُندا است. همان‌طور که در مرورگر کد پروژه دیده می‌شود، کُندا اپ را در قالب ۲۳ فایل تفکیک‌شده و منظم چیده است: کامپوننت‌های امنیتی مانند RequireAuth.jsx، کتابخانه‌های کمکی api.js و projectAuth.js، و سورس تمیز App.jsx با پیاده‌سازی تقویم شمسی بدون خطای Intl. توسعه‌دهنده می‌تواند سورس‌کد را در قالب فایل Zip با یک کلیک دریافت کند یا آن را به مخزن گیتهاب متصل نماید.
ارزیابی نتیجه‌محور کُندا:
- نقاط قوت: خروجی فارسی بی‌نقص با وزیرمتن؛ تقویم شمسی دقیق؛ دو پنل مجزای کاربر و مدیر؛ دیتابیس اختصاصی (PostgreSQL در استقرار نهایی) با کنسول زنده SQL؛ میزبانی پرسرعت روی سرورهای داخلی بدون نیاز به VPN برای کاربران؛ پرداخت ریالی شتابی و پلن‌های ارزون‌تر؛ توسعه سریع با ابزار Forge و ادیتور ویژوال.
- مناسب برای: هر برنامه‌نویس، طراح محصول یا کسب‌وکاری که می‌خواهد بدون دردسرهای تحریم، سرور خارجی و پرداخت دلاری، اپلیکیشن کامل و زنده‌ای را در ایران مستقر کند.
۲. Lovable (لاوبل)؛ هوش زبانی قوی با چالش‌های دسترسی در ایران
ساخت پروژه در لاوبل در حدود ۴ تا ۵ دقیقه انجام شد. پلتفرم لاوبل از نظر هوش زبانی و درک جزئیات پرامپت فارسی عملکرد بسیار پخته‌ای نشان داد: مدل خودش نام کسب‌وکار را «آرایشگاه استاد» گذاشت، سه آرایشگر پیش‌فرض با نام‌های «استاد رضا»، «علی» و «محمد» تعریف کرد، ساعات کاری روزانه را بین ۱۰ تا ۲۱ با اسلات‌های ۱ ساعته تنظیم نمود و بازه تقویم شمسی را روی ۱۴ روز آینده قفل کرد.
طراحی رابط کاربری و تقویم شمسی:
- جهت صفحه کاملاً راست‌به‌چپ (RTL)، زبان فارسی، فونت رسمی وزیرمتن و ارقام کاملاً فارسی با جداکننده قیمت‌ها به تومان بود.
- نوار روزهای شمسی به درستی از «جمعه ۱۷ مهر» آغاز شد و اسلات‌های زمانی را در قالب نوبت‌های مرتب چید.
- فرآیند ثبت نوبت همراه با پیام تأیید شفاف («شنبه ۱۸ مهر ساعت ۱۰:۰۰ با استاد رضا») انجام شد و پس از ثبت، ساعت رزروشده در سیستم غیرفعال گردید تا از انتخاب مجدد جلوگیری شود.
دیتابیس ابری (Lovable Cloud) و ساختار جداول: بررسی مستقیم دیتابیس ابری این پروژه در کنسول لاوبل نشان داد که پلتفرم یک پایگاه داده ابری کامل ایجاد کرده است. همان‌طور که در تصویر زیر مشخص است، در بخش Database آمار ۱۴۹ درخواست (Requests) و ۰.۸ ساعت مصرف ثبت شده و ۴ جدول استاندارد شکل گرفته است:
appointments: جدول نوبتها (شامل ۲ نوبت ثبت‌شده در تست ما).barbers: اطلاعات ۳ آرایشگر اصلی سالن.services: لیست ۶ خدمت پیرایشگاه به همراه تعرفه و زمان.user_roles: جدول کنترل دسترسی و نقش‌های کاربری.
با کلیک روی جدول appointments، نمای جدولی (Data Grid) نوبتها باز می‌شود. همان‌طور که مشاهده می‌کنید، نوبتها با کلیدهای یکتای UUID ذخیره شده و با روابط کلید خارجی (Foreign Keys) به barber_id و service_id متصل شده‌اند:
کنسول زندهٔ SQL و تایید ذخیره‌سازی داده‌های فارسی:
لاوبل مجهز به یک SQL Editor داخلی است که امکان نوشتن و اجرای مستقیم کوئری‌های SQL را میدهد. با اجرای کوئری SELECT * FROM appointments، مشاهده کردیم که نوبت‌های ثبت‌شده به همراه تاریخ 2026-10-10، ساعت‌های ۱۰ و ۱۱ و نام مشتری به فارسی («تست مقایسه») با موفقیت در دیتابیس پایدار شده‌اند:
برتری قاطع امنیتی لاوبل نسبت به Bolt (سیاستهای RLS): بررسی بخش سیاستهای امنیتی (Row Level Security) نشان داد که لاوبل برخلاف Bolt، اصول امنیت داده را به دقت پیاده کرده است:
- در جدول
appointments، سیاستanyone can bookصرفاً مجوزINSERTرا به کاربران ناشناس میدهد تا بتوانند فرم رزرو را ثبت کنند. - در مقابل، سیاست
admin readsمجوزSELECT(خواندن اطلاعات نوبتها و اطلاعات مشتریان) را به کاربران احرازهویتشده (authenticated) محدود کرده است. یعنی هیچ کاربر غریبه‌ای نمی‌تواند شماره تلفن یا مشخصات مشتریان دیگر را از طریق کلاینت بیرون بکشد. - سیاست
admin deletesنیز فقط به مدیر لاگین‌شده اجازه لغو و حذف نوبت را میدهد؛ در حالی که در بولت، هر کسی با دسترسی آزاد می‌توانست کل نوبتها را پاک کند.
معماری پروژه و محدودیت ویرایشگر کد در پلن رایگان: با باز کردن زبانه Code در پنل لاوبل، ساختار مدرن پروژه مشخص می‌شود: لاوبل از تمپلیت قدرتمند TanStack Start همراه با Drizzle ORM و تایپ‌اسکریپت بهره می‌برد. اما یک محدودیت مهم برای کاربران نسخه رایگان به چشم می‌خورد: همان‌طور که در گوشه بالای صفحه با نشان بنفش مشخص است، این ویرایشگر در حالت Read-only قرار دارد و برای ویرایش دستی فایل‌ها در مرورگر، دکمه Upgrade نمایش داده می‌شود. برای ادیت آزاد در نسخه رایگان، کاربر باید پروژه را روی سیستم لوکال خود دانلود کند یا به گیتهاب متصل سازد؛ در حالی که در کُندا ابزار Forge و ادیتور ویژوال بدون این موانع، امکان توسعه زنده پروژه را فراهم می‌کنند.
ارزیابی نتیجه‌محور Lovable:
- نقاط قوت: درک عالی زبان فارسی و پرامپت‌نویسی، تقویم شمسی دقیق ۱۴ روزه، دیتابیس ۴ جدوله منظم، امنیت بسیار قوی RLS و جلوگیری از نشت اطلاعات، طراحی بصری بسیار زیبا با Shadcn/ui.
- محدودیت‌ها برای کاربران ایرانی: هزینه ماهانه دلاری (۲۰ تا ۲۵ دلار به علاوه کارمزد پرداخت‌کننده خارجی)، عدم امکان پرداخت ریالی شتاب، وابستگی دیتابیس به زیرساخت ابری خارجی که در اینترنت ایران ریسک تحریم دارد، و قفل بودن ادیت مستقیم کد در مرورگر در پلن رایگان.
- مناسب برای: توسعه‌دهندگانی که برای بازارهای خارجی کار می‌کنند، پرداخت ارزی دارند و خروجی شیک و بی‌دردسر می‌خواهند.
۳. v0 (وی‌زیرو از Vercel)؛ پروتوتایپ سریع UI، اما باگ‌های اجرایی و دیتابیس صوری
پلتفرم v0 متعلق به شرکت Vercel است و بر مبنای استک Next.js و کامپوننت‌های Shadcn/ui کار میکند. از اوت ۲۰۲۶، حساب‌های رایگان v0 صرفاً به مدل v0 Mini دسترسی دارند و انتخاب سایر مدل‌ها نیازمند ارتقای اشتراک دلاری است. فرآیند ساخت اولیه بسیار سریع (حدود ۲ دقیقه) انجام شد، اما در بررسی فنی دقیق و تجربی، با مجموعه‌ای از خطاهای سرور، عدم لود پیش‌نمایش و نبود پایگاه‌داده مواجه شدیم:
۱. باگ پیش‌نمایش زنده و خطای ۵۰۲ سرور توسعه:
یکی از مشکلات جدی در تست ما، کرش کردن سرور داخلی پیش‌نمایش بود. پس از ارسال پرامپت، مدل مدعی شد که اپ را با موفقیت ساخته و تست مرورگر پاس شده است؛ اما کادر پیش‌نمایش کاملاً سفید باقی ماند و پیغام Your v0 generation will show here ظاهر شد.
هنگامی که با پرامپت بعدی از مدل خواستیم مشکل را برطرف کند («پروژه مشکل داره میشه درستش کنی؟»)، مدل پاسخ داد:
«مشکل از کد نبود؛ پیش‌نمایش روی پورت ۳۰۰۰ اجرا نمی‌شد و به همین دلیل خطای ۵۰۲ نمایش داده می‌شد. سرور توسعه را دوباره راه‌اندازی کردم و pnpm build با موفقیت انجام شد.»
با این حال، حتی پس از این ادعا نیز سرور پیش‌نمایش قادر به بارگذاری برنامه در آی‌فریم نشد و کاربر در محیط وب با یک صفحهٔ خالی و غیرپاسخگو رها گردید:
۲. ساختار کد Next.js و قفل بودن ویرایشگر آنلاین (Editing unavailable):
در زبانه Code، وی‌زیرو یک ساختار مرتب از Next.js (App Router) با TypeScript تولید کرده است: فایل app/layout.tsx متادیتا و خصوصیت dir="rtl" را تنظیم نموده و کامپوننت components/booking-app.tsx قرار دارد.
اما یک محدودیت بزرگ پلتفرمی در v0 وجود دارد: در پایین ویرایشگر کد، برچسب Editing unavailable خورده و دکمه‌های Save و Discard غیرفعال هستند. یعنی توسعه‌دهنده حق ویرایش مستقیم و دستی حتی یک خط کد را در مرورگر ندارد؛ یا باید پرامپت چت بدهد که توکن مصرف میکند یا پروژه را با CLI در سیستم محلی خود دانلود کند؛ در حالی که در کُندا ابزار Forge و ادیتور ویژوال امکان توسعه بدون محدودیت را فراهم می‌کنند.
۳. توهم اتصال دیتابیس؛ نبود جداول کسب‌وکار و اسکیماهای خالی:
وی‌زیرو به‌صورت بومی پایگاهدادهٔ داخلی ارائه نمی‌دهد و برای دیتابیس به افزونهٔ خارجی Neon وابسته است. در ابتدای کار، سیستم پیامی با این مضمون نمایش میدهد: «برای ذخیره امن نوبتها و جلوگیری قطعی از رزرو هم‌زمان به دیتابیس نیاز است».
اما وقتی به زبانه Database در داشبورد v0 مراجعه می‌کنید، متوجه می‌شوید که هیچ جدول کاربردی برای آرایشگاه (appointments, barbers, services) ساخته نشده است! تنها ۹ جدول سیستمی مربوط به احراز هویت اولیهٔ نئون (neon_auth) وجود دارد که محتوای آنها نیز کاملاً خالی است (No data found):
۴. خطای کنسول SQL در اجرای ساده‌ترین کوئری:
با رفتن به بخش SQL Query و اجرای کوئری آزمایشی SELECT * FROM account، کنسول مستقیماً خطای زیر را برمی‌گرداند:
Database query failed: relation "account" does not exist
این موضوع ثابت میکند دیتابیس در خروجی v0 کاملاً صوری و غیرمتصل است. در نتیجه، اگر کاربری در فرانت‌اند نوبتی ثبت کند، اطلاعات صرفاً در حافظهٔ موقت کامپوننت ذخیره شده و با یک بار رفرش صفحه به کلی نابود می‌شوند.
ارزیابی نتیجه‌محور v0:
- نقاط قوت: سرعت بالای تولید لایهٔ ظاهری اولیه؛ ساختار تمیز Next.js و Tailwind CSS.
- محدودیت‌ها: ناپایداری مکرر پیش‌نمایش در محیط وب (خطای ۵۰۲ و صفحه سفید)؛ نداشتن پایگاهدادهٔ داخلی واقعی و وابستگی به سرویس‌های اکسترنال تحریم‌شده؛ قفل بودن ویرایشگر کد (
Editing unavailable)؛ فونت پیش‌فرض نامناسب فارسی و اختلاف در تاریخ تقویم شمسی؛ مدل تجاری دلاری با محدودیت مدل به v0 Mini در پلن رایگان. - مناسب برای: طراحان و توسعه‌دهندگانی که صرفاً به دنبال قطعه‌کدهای آمادهٔ UI یا کامپوننت‌های Shadcn هستند، نه اجرای یک وب‌اپلیکیشن فول‌استک واقعی دارای دیتابیس.
۴. Bolt.new (بولت)؛ محیط توسعه کامل WebContainer با چالش‌های امنیتی و باگ‌های UI
پلتفرم Bolt.new از شرکت StackBlitz، یکی از جذاب‌ترین ایده‌ها را در پردازش کد داخل مرورگر (مبتنی بر WebContainer) پیاده کرده است؛ به طوری که تمام پکیج‌های پروژه بدون نیاز به سرور واسط در مرورگر شما نصب و اجرا می‌شوند. با این حال، در تست عملی پرامپت فارسی رزرو نوبت، فرآیند ساخت حدود ۹ دقیقه طول کشید و پروژه با باگ‌های عجیب رابط کاربری و چندین حفرهٔ امنیتی پرخطر مواجه شد:
۱. باگ عجیب دکمهٔ ثبت نوبت نامرئی: پس از تکمیل فرم رزرو، هیچ دکمه‌ای برای ثبت در پایین صفحه ظاهر نشد! کاربر برای ثبت نوبت مجبور بود چندین بار کلید Tab کیبورد را فشار دهد تا فوکوس روی یک المان نامرئی و بدون استایل قرار بگیرد و با زدن Enter فرم ارسال شود. این دست باگ‌های غیرمنتظره در خروجی‌های خودکار می‌تواند به راحتی نرخ تبدیل (Conversion Rate) کسب‌وکار را به صفر برساند.
۲. معماری کد در مرورگر و دسترسی باز ادمین بدون احراز هویت:
همان‌طور که در مرورگر کد Bolt دیده می‌شود، پروژه با استفاده از Vite، React و Tailwind در محیط WebContainer کامپایل شده است (نصب ۲۸۹ پکیج در ۴ ثانیه). اما بررسی دقیق فایل src/App.tsx یک غفلت بزرگ امنیتی را برملا کرد:
کد روتینگ برنامه صرفاً با یک شرط سادهٔ هش پیاده‌سازی شده است:
const isAdmin = route.startsWith('#/admin') || route.startsWith('#admin');
return isAdmin ? <AdminPage /> : <BookingPage />;
این یعنی برنامه هیچ‌گونه لایه احراز هویت (Auth) یا اعتبارسنجی رمز عبور ندارد! هر کاربری در اینترنت صرفاً با اضافه کردن #admin به انتهای آدرس سایت، مستقیماً وارد پنل مدیریت نوبتها شده و تمام اطلاعات مشتریان را می‌بیند.
۳. دیتابیس ابری (Bolt Database) و ساخت ۳ جدول داده: بولت یک دیتابیس ابری مبتنی بر PostgreSQL (یکپارچه با ساختار Supabase) ایجاد کرد. در زبانه Database، سه جدول اصلی برنامه با موفقیت تعریف شدند:
barbers: جدول اطلاعات ۳ آرایشگر.appointments: جدول رزروها (شامل ۱ نوبت ثبت‌شده در تست).services: جدول خدمات ۵گانهٔ آرایشگاه به همراه تعرفه به تومان.
با کلیک روی جدول barbers، جزئیات ۳ آرایشگر ذخیره‌شده («رضا محمدی»، «امیر حسینی» و «سعید کریمی») به همراه شناسهٔ UUID و زمان ثبت دقیق قابل مشاهده است:
همچنین کنسول داخلی کوئری اجازه اجرای فرامین SQL مانند SELECT * FROM public."barbers" LIMIT 100; را میدهد که نتایج را مستقیماً از موتور پایگاه‌داده استخراج میکند:
۴. حفرهٔ امنیتی فاجعه‌بار در سیاستهای RLS (دسترسی آزاد ناشناس با true):
اگرچه بولت دیتابیس واقعی ساخت، اما سیاستهای امنیتی سطوح ردیف (Row Level Security) آن یک فاجعهٔ کامل بود. در جدول appointments و سایر جداول، تمام دسترسی‌های SELECT, INSERT, UPDATE, DELETE برای کاربران ناشناس (anon) با شرط true تنظیم شده بود!
این یعنی هر بازدیدکننده‌ای با باز کردن کنسول Developer مرورگر خود و استفاده از کلاینت جاوااسکریپت، می‌توانست تمام شماره‌های موبایل و اطلاعات رزروها را بخواند، تغییر دهد یا با یک دستور کل پایگاه‌داده را پاک کند. در مقایسه، کُندا مسیرهای API ناشناس را با خطای ۴۰۱ مسدود میکند و Lovable دسترسی خواندن را به کاربران احرازهویتشده محدود ساخته است.
ارزیابی نتیجه‌محور Bolt:
- نقاط قوت: تقویم شمسی کامل؛ ساخت پایگاه داده ۳ جدوله و کنسول زندهٔ SQL؛ محیط توسعه کامل در مرورگر با قابلیت ادیت فایل‌ها.
- محدودیت‌ها: باگ‌های عمیق UI (مانند دکمهٔ رزرو نامرئی)؛ حفره‌های امنیتی خطرناک در RLS و دسترسی باز به ادمین بدون پسورد؛ نیاز به VPN پایدار و آی‌پی غیرتحریم‌شده به دلیل میزبانی روی سرویس‌های خارجی؛ هزینه ماهانه دلاری (۲۰ دلار به بالا).
- مناسب برای: توسعه‌دهندگانی که می‌خواهند یک پروژهٔ فرانت‌اند پیچیده را با پکیج‌های دلخواه npm در مرورگر آزمایش کنند و سپس خودشان کدهای امنیتی و بک‌اند را بازنویسی نمایند.
جدول مقایسه جامع و نهایی
ارزیابی عینی ۴ ابزار وایب‌کدینگ در یک سناریوی واقعی وب فارسی
برای دیدن همهٔ ستون‌ها، جدول را افقی جابه‌جا کن.
| معیار سنجش |
انتخاب بومی
کُندا (Konda)
|
|
|
|
|---|---|---|---|---|
| پشتیبانی از RTL و ارقام فارسی | کامل ✓ | کامل ✓ | کامل ✓ | کامل ✓ |
| اعمال فونت وزیرمتن | بومی ✓ وزیرمتن سلف‌هاست | بله ✓ وزیرمتن Google Fonts | ادعای مدل بدون لود واقعی فونت | خیر ✕ فونت پیش‌فرض Tahoma |
| صحت تقویم شمسی و تاریخ | ۱۰۰٪ دقیق ✓ امروز ۱۷ مهر (مبتنی بر Intl) | دقیق ✓ نوار ۱۴ روزه شمسی | دقیق ✓ تقویم کامل ماه | ۶ روز خطا ✕ محاسبه نادرست روز جاری |
| وضعیت دیتابیس و ماندگاری داده | اختصاصی و فعال ✓ ۵ جدول + کنسول زنده SQL | ابری فعال ✓ ۴ جدول ساختاریافته Supabase | ابری فعال ✓ ۳ جدول با Supabase | ناموفق ✕ خطای relation does not exist |
| امنیت دسترسی و حریم خصوصی (RLS) | امن و مسدود ✓ اندپوینت ۴۰۱ برای ناشناس | ایمن (RLS) ✓ تفکیک INSERT و SELECT | ناامن (ریسک بالا) ✕ دسترسی آزاد با شرط true | — دیتابیس متصل نشد |
| پنل مدیریت (داشبورد آرایشگاه) | کامل و کاربردی ✓ شمارنده نوبتها و تغییر وضعیت | ورود با ایمیل ✓ محافظت‌شده با Auth | حفره امنیتی ✕ هش admin# عمومی بدون پسورد | نمایشی صرفاً دکمه بدون صفحه |
| پایداری هاست روی شبکه ایران | مستقل از VPN ✓ سرورهای ابری داخل کشور | وابسته به VPN تحریم دیتابیس Supabase | وابسته به VPN تحریم دیتابیس Supabase | وابسته به VPN تحریم دیتابیس Neon |
| مدل پرداخت و هزینه | تومانی شتاب ✓ پلن‌های اقتصادی و ارزون‌تر | ارزی سنگین ۲۰-۲۵$ ماهانه + کارمزد | ارزی سنگین ۲۰-۲۵$ ماهانه + کارمزد | ارزی اعتباری مصرف سریع کریدیت |
| محیط ادیتور و ابزار توسعه | چت هوشمند + Forge ادیت مستقیم کد در پلن‌های پرو (رایگان: پرامپت‌محور) | چت هوشمند + مرور کد ادیت مستقیم کد در پلن‌های پرداختی (رایگان: Read-only) | WebContainer کامل ✓ ادیتور زنده فایل‌ها و ترمینال درون مرورگر | چت پرامپت (بدون IDE) تولید کامپوننت بدون فایل ادیتور کامل |
| مالکیت سورس‌کد و اتصال GitHub | کامل (۲۳ فایل) ✓ دانلود Zip + اتصال GitHub | کامل ✓ اتصال به مخزن GitHub | کامل ✓ دانلود Zip + GitHub | کامل ✓ دانلود سورس Next.js |
راهنمای انتخاب: کدام ابزار برای شما مناسب‌تر است؟
- اگر در ایران هستید و محصولی پایدار، سریع و بدون دردسر می‌خواهید:
کُندا (Konda) بی‌رقیب است. بدون نیاز به فیلترشکن، با پرداخت ریالی و پلن‌های ارزون‌تر، دیتابیس ساختاریافته، کنسول زندهٔ SQL، سازگاری ۱۰۰٪ با فونت و تقویم فارسی و امکان توسعه با ابزار Forge، مناسب‌ترین ابزار برای راه‌اندازی سریع وب‌اپلیکیشن است. - اگر خارج از ایران فعالیت می‌کنید و پرداخت ارزی دارید:
Lovable خروجی باکیفیتی ارائه میدهد، هرچند هزینه اشتراک ماهانه دلاری آن برای کاربران داخل ایران سنگین است و ویرایشگر کد آن در پلن رایگان قفل است. - اگر فقط طرح اولیه رابط می‌خواهید:
v0 برای پروتوتایپ سریع فرانت‌اند ابزار خوبی است، اما برای اپلیکیشن دارای دیتابیس و تقویم شمسی نیاز به بازنویسی اساسی دارد.
تست مستقیم: همین پرامپت را در کُندا امتحان کنید
برای اینکه خودتان کیفیت و سرعت وایب کدینگ بومی را تجربه کنید، نیازی به کارت اعتباری بینالمللی یا فیلترشکن ندارید:
۱. وارد داشبورد کُندا شوید.
۲. متن پرامپت همین مقاله را در کادر تولید بنویسید.
۳. در کمتر از ۳ دقیقه، وب‌اپلیکیشن فارسی خود را همراه با پایگاه داده و لینک اختصاصی تحویل بگیرید.
پرسش‌های پرتکرار
Lovable و ابزارهای خارجی برای کاربران ایرانی چه محدودیتهایی دارند؟
ابزارهایی مانند Lovable و Bolt به کارتهای اعتباری بینالمللی (Stripe) نیاز دارند و پرداخت ریالی ندارند. علاوه بر این، زیرساخت دیتابیس آنها (مانند Supabase و Neon) اتصالات از مبدأ ایران را محدود یا مسدود میکند. در مقابل، کُندا با میزبانی داخلی، پرداخت تومانی و دامنه مستقیم در دسترس است.
کدام ابزار هوش مصنوعی زبان فارسی و تقویم شمسی را بهتر پیاده میکند؟
در تست عملی ما، کُندا و Lovable بالاترین امتیاز را در فونت وزیرمتن، چینش RTL، ارقام فارسی و تقویم جلالی دقیق کسب کردند. ابزار v0 فونت را تاهوما گذاشت و تاریخ را ۶ روز اشتباه محاسبه کرد.
امنیت دیتابیس در Lovable بهتر است یا Bolt؟
در تست ما مشخص شد لاوبل برخلاف Bolt سیاستهای RLS را کاملاً درست پیکربندی کرده است؛ دسترسی ناشناس فقط برای INSERT باز است و خواندن اطلاعات نوبتها به ادمین احرازهویتشده محدود شده است. اما در Bolt دسترسی SELECT و حذف برای همه ناشناسان باز بود.
آیا کُندا برای ساخت وباپلیکیشنهای واقعی و تجاری مناسب است؟
بله؛ کُندا پایگاهدادهٔ مستقل (PostgreSQL در استقرار نهایی)، کنسول زندهٔ SQL در داشبورد، لایهٔ امن API، اتصال دامنهٔ اختصاصی و همگامسازی با گیتهاب را ارائه میدهد.
آیا سورس‌کد تولیدشده در کُندا قابل دانلود و توسعه شخصی است؟
بله؛ کُندا یک پایگاه کد کامل ماژولار React با ۲۳ فایل منظم تحویل میدهد که آماده دانلود با یک کلیک در قالب Zip، اتصال به گیتهاب و ویرایش با ابزار Forge و ابزارهای ادیت ویژوال است؛ در حالی که کد ادیتور لاوبل در پلن رایگان Read-only است.
منابع
- مستندات رسمی Lovable: پرسش‌های متداول (۲٬۰۲۶)
- تعرفهٔ Lovable (۲٬۰۲۶)
- شرایط استفادهٔ Lovable (۲٬۰۲۶)
- تعرفهٔ Bolt (۲٬۰۲۶)
- تعرفه‌ها و پلن‌های کُندا (۲٬۰۲۶)
بنیان‌گذار کُندا و راوی تجربهٔ ساخت.
