cursor-known-pitfalls

本资料是一份 Cursor IDE 常见陷阱的预防与补救清单，用于在 AI 辅助开发前做预检，涉及上下文泄漏、过宽修改、过期规则、无依据假设和盲目信任生成结果。前提是已有项目规则、数据分级和常规审查/测试流程；评估 Cursor 行为时使用非敏感的复现样例。做法是：接受建议或改配置前先识别对应陷阱，收窄上下文与任务范围，再核对 diff 和测试；把反复出现的失败写入经审查的规则或团队指引，而非依赖记忆。分类包括 AI 行为、安全、配置、性能与团队协作。AI 行为方面：不要直接“Apply All”，应逐个查看 Changes 面板 diff、核对导入与函数是否真实存在，应用后运行 npm run build 与 npm test，并在使用 Composer 前先提交以便 git checkout . 回滚；避免上下文窗口溢出，优先用 @Files 而非 @Folders、@Codebase，每次提示限制 3-5 个文件引用，新话题开新对话，及时移除过期上下文；不要沿用 20 轮以上的旧会话；用项目规则固定版本以抑制废弃写法；Tab 补全干扰缩进时可用 Esc 取消或改键位。安全方面：绝不粘贴 .env 内容、含凭据的日志、数据库连接串或带鉴权令牌的响应头，粘贴前脱敏；为每个项目建 .cursorignore 排除 .env*、/secrets/、/credentials/、/*.pem、/*.key；开启 Privacy Mode（个人在设置中开启，团队在管理后台强制）；认证、加密、授权等安全关键代码必须人工专家审查，并用 SAST 工具（如 Semgrep、Snyk）扫描，未经渗透测试不得上线。配置方面：至少建立 project.mdc、security.mdc 及按语言 glob 的规则；避免规则互相矛盾，可用 @Cursor Rules 检查某文件生效规则；同一时间只保留一个行内补全扩展。性能方面：不要打开含 20 万文件的 monorepo 根目录，改为打开具体包；配置 files.watcherExclude 排除 node_modules、.git/objects、dist、build；定期关闭旧聊天标签并重启 Cursor。团队协作方面：将 .cursor/rules/ 与 .cursorignore 纳入版本控制并像其他配置一样走 PR 审查；AI 生成代码同样需 pre-commit 钩子和 PR 审查；统一团队默认模型并在入职文档中说明选型。企业层面建议把 AI 幻觉与数据暴露写入风险登记，做季度培训，准备“AI 生成代码导致生产事故”的响应预案，并每年复查 Cursor 安全页面。资料未提供具体定价、收费模式或效果数据。