Cursor Apps 發布前怎麼驗收？分享權限、資料列與 API key 檢查

從 Cloud Agent 建立，先用測試資料#

Apps 文件要求使用 cloud agent，並明確告知要建立 App；可從 Cursor Origin 新 repository 開始，或使用既有 GitHub repository。本機 agent 不支援這條託管流程；公告仍將 GitLab 列為後續支援。

試做可以提出具體要求：「建立內部報表 App，先用虛構資料；每個使用者只能看自己的紀錄，管理者可以看整個團隊。先完成預覽與驗收，再發布。」這同時給 Agent 功能與權限契約。

Cursor 會依需要建立 Postgres；連接外部服務的 secrets 應透過專用設定流程提供。文件說明 agent 看不到 secret 值。測試時仍應使用專用、最小權限的資料來源帳號，讓 App 的資料範圍可控。

安全檢查通過後，還要跑身分矩陣#

發布流程會執行安全檢查，使用者選擇 publish 前不會上線。官方列出檔案內秘密值、憑證檔、.env 與 source map 的內建處理，另有 AI security review。這些檢查與你的業務權限契約各有驗收項目。

建立兩筆虛構紀錄，分別屬於測試成員 A、B，再逐一測試：

以上是建議的應用驗收，實際結果需留待部署環境確認。隱藏按鈕只能改變畫面，伺服器讀寫端點也應依身分檢查紀錄所有權。

分享範圍與腳本存取分開設定#

官方提供受邀成員／群組、整個 team 與 public 分享。Teams、Enterprise 的 public sharing 預設關閉，由管理者開啟；individual plan 也可公開分享。選擇範圍後，用獨立身分重開 live link，確認結果。

私人與團隊 App 的腳本可使用 Cursor API key。依文件，key 必須放在每個 request 的 x-cursor-app-token header；query parameter 與 Cookie 都不適用。Personal key 可開啟擁有者能開的 App；team key 只可開啟獲授權的 team apps。

API key 的權限驗收應重跑同一份矩陣：成功進入 App 後，再測試讀寫範圍、錯誤紀錄與敏感欄位回傳。測試紀錄只保留 key 名稱與結果，秘密值留在設定系統。發布前確定 App 的使用者清單、來源資料權限與實際端點結果一致，再交付連結。

若你要選擇 Agent 執行機器，另見 Cursor Cloud Agents 自架；Apps 的託管發布與自架執行環境是不同決策。

參考資料：

Cursor：Build Live Apps

Cursor Apps 文件