Als je ooit een door AI ontwikkeld product in productie hebt genomen, ken je de waarheid al — Niet alle AI-codeertools genereren hetzelfde soort code.De ene tool levert iets op wat een senior engineer 'prima' zou noemen. De andere levert iets op dat er geweldig uitziet in een demo, maar in productie de mist in gaat. De derde produceert code die zo complex en idiomatisch is dat zelfs je eigen team een ​​week nodig heeft om te begrijpen wat er is veranderd. Deze gids vergelijkt de drie meest gebruikte AI-codeertools van 2026. Cursor, Claude-codeen Bolt — op het niveau dat er echt toe doet: hoe de code eruitziet wanneer echte gebruikers deze gebruiken.. Wij Triple Mindsen we rennen Vibe Code Cleanup Services Voor oprichters die snel producten op de markt brachten en nu de rekening moeten betalen, zien we de output van alle drie, elke week opnieuw, in hun meest chaotische productiefase. Dit artikel vat samen wat we daadwerkelijk hebben ontdekt.

De belofte van elke AI-codeertool is dezelfde: Schrijf een korte prompt en krijg een werkende functie.De realiteit is dat "werken" een enorm scala aan mogelijkheden verbergt. We namen één realistische productieopdracht – een TypeScript Next.js 14-endpoint dat een profielfoto uploadt naar S3 – en voerden deze zonder verdere aanpassingen door Cursor, Claude Code en Bolt. Vervolgens beoordeelden we de resultaten op dezelfde manier als bij onze code-opruimingstrajecten: codekwaliteit, beveiliging, typeveiligheid, prestaties, observeerbaarheid en productiegereedheid. De resultaten zijn niet subtiel. Er zijn reële, meetbare verschillen tussen de drie, en die verschillen corresponderen direct met... hoeveel het kost om de codebase later op te schonen.

👉 Gebruikt u al een van deze tools voor uw producten en maakt u zich zorgen over de kwaliteit van de code? Triple Minds biedt een vaste prijs Opruimaudit van $499 — vijf dagen, een schriftelijk rapport, een beschrijving van de ernst van de bevindingen en een vaste prijsopgave voor de schoonmaak zelf. Boek een gratis kennismakingsgesprek van 30 minuten →

De methodologie

Aan elke tool werd dezelfde prompt gegeven, zonder aanpassing van de systeemprompt, zonder verdere verduidelijkingen, met het standaardmodel waar een keuze mogelijk was (GPT-4 / Sonnet 4.5 / Bolt's standaard), en met eenmalige generatie. Vervolgens hebben we de output beoordeeld aan de hand van een productie-grade beoordelingsschema dat we gebruiken bij onze opschoonaudits. Dit schema omvat 11 dimensies, waaronder inputvalidatie, typeveiligheid, foutafhandeling, observeerbaarheid, geheimbeheer, idempotentie en AWS-specifieke best practices. Hetzelfde beoordelingsschema zou een senior engineer of auditor toepassen tijdens een code review bij een SaaS-bedrijf in de Series A-fase of hoger.

Eén enkele test geeft niet het volledige potentieel van een tool weer — Cursor is met name bedoeld om iteratief te worden gebruikt, met verfijningen in de chat. Maar het doet Leg vast wat de meeste "vibe-coders" daadwerkelijk doen: een prompt typen, de output accepteren en het verzenden. Dat is waar productiefouten beginnen, en dat is wat dit artikel meet.

De prompt

Maak een TypeScript Next.js 14 App Router API-route die een profielfoto-upload accepteert, deze valideert (max. 5 MB, alleen PNG of JPEG), opslaat in S3 en de openbare URL retourneert.

Dit is bewust een prompt voor een "dinsdagmiddag" — het soort prompt dat een oprichter of junior engineer typt wanneer ze snel een functionaliteit nodig hebben. Het test alle veelvoorkomende faalpunten in een productieomgeving: onbetrouwbare invoer, bestandsverwerking, AWS-referenties, foutmeldingen en URL-constructie.

Ronde 1 — Wat de cursor genereerde

Cursor produceerde een strakke, idiomatische Next.js-handler. Het is het soort code dat een engineer van gemiddeld niveau schrijft wanneer de specificaties duidelijk zijn en ze snel moeten werken. Opvallend is dat Cursor verstandige standaardwaarden afleidde uit de omringende (lege) projectcontext — App Router-conventies, async/await en het environment-variable-patroon.

// app/api/upload-photo/route.ts
import { NextRequest, NextResponse } from 'next/server'
import { S3Client, PutObjectCommand } from '@aws-sdk/client-s3'

const s3 = new S3Client({ region: process.env.AWS_REGION! })
const BUCKET = process.env.S3_BUCKET!
const MAX_SIZE = 5 * 1024 * 1024

export async function POST(req: NextRequest) {
  const formData = await req.formData()
  const file = formData.get('photo') as File | null

  if (!file) {
    return NextResponse.json({ error: 'No file' }, { status: 400 })
  }
  if (file.size > MAX_SIZE) {
    return NextResponse.json({ error: 'Too large' }, { status: 400 })
  }

  const allowed = ['image/png', 'image/jpeg']
  if (!allowed.includes(file.type)) {
    return NextResponse.json({ error: 'Invalid type' }, { status: 400 })
  }

  const key = `profiles/${Date.now()}-${file.name}`
  const buffer = Buffer.from(await file.arrayBuffer())

  await s3.send(new PutObjectCommand({
    Bucket: BUCKET,
    Key: key,
    Body: buffer,
    ContentType: file.type,
  }))

  return NextResponse.json({
    url: `https://${BUCKET}.s3.amazonaws.com/${key}`,
  })
}

Wat is juist

• Correcte App Router-handtekening, idiomatisch NextResponse.json() gebruik.
• Haalt de bucket en regio op uit de omgevingsvariabelen — deze worden niet vastgelegd.
• Constanten voor limieten, gemakkelijk te vinden en aan te passen.
• Compact, leesbaar en zonder overbodige code.

Wat ontbreekt er voor de productie?

• Trusts file.type — de client stelt die header in. Een aanvaller uploadt .exe with image/png In het verzoek staat dat uw bucket nu malware bevat.
• u gebruikt file.name in de S3-sleutel — een bestandsnaam van ../../etc/passwd.jpg vormt een reëel aanvalsoppervlak, afhankelijk van de afnemers.
• Geen magic-byte verificatie — Het enige dat je beschermt tegen niet-beeldmateriaal is de client.
• Geen autorisatiecontrole — Iedereen met de URL kan uploaden.
• Hardgecodeerd URL-patroon — Dit treedt op wanneer buckets zich in niet-standaardregio's bevinden, of wanneer u de bucket later via CloudFront beheert.
• Geen gestructureerde logboekregistratie — als dit in de productie mislukt, heb je geen kruimelpad.
• Geen try/catch in de buurt s3.send() — Een time-out aan de AWS-kant retourneert een generieke 500-foutcode zonder nuttige details.

Foutmodus van de cursorhandtekeningCode die er netjes uitziet en goed leesbaar is, maar ervan uitgaat dat de invoer betrouwbaar is. Uitstekend geschikt om mee te werken. binnen Een robuuste codebase met reeds aanwezige middleware voor validatie. Gevaarlijk wanneer deze wordt gebruikt om een ​​nieuw eindpunt vanaf nul op te bouwen.

Ronde 2 — Wat Claude Code heeft gegenereerd

Claude Code produceerde met een aanzienlijke marge de langste uitvoer van de drie. Het valideerde omgevingsvariabelen tijdens het laden van de module, gebruikt fileTypeFromBuffer Om het daadwerkelijke binaire bestand te onderscheppen, zijn cacheheaders en een aparte openbare URL-basis toegevoegd, zodat de bucket later achter CloudFront kan worden geplaatst zonder het API-contract te wijzigen.

// app/api/upload-photo/route.ts
/**
 * Profile photo upload endpoint.
 * - Max 5 MB
 * - PNG or JPEG only (verified by reading magic bytes, not the
 *   client-supplied MIME)
 * - Stored under a non-guessable, sanitised key
 */
import { NextRequest, NextResponse } from 'next/server'
import { S3Client, PutObjectCommand } from '@aws-sdk/client-s3'
import { randomUUID } from 'crypto'
import { fileTypeFromBuffer } from 'file-type'

const REGION       = process.env.AWS_REGION
const BUCKET       = process.env.S3_BUCKET
const PUBLIC_BASE  = process.env.S3_PUBLIC_BASE_URL // e.g. https://cdn.example.com

if (!REGION || !BUCKET || !PUBLIC_BASE) {
  throw new Error('Missing required AWS / CDN environment variables')
}

const s3 = new S3Client({ region: REGION })
const MAX_BYTES = 5 * 1024 * 1024
const ALLOWED_MIME = new Set(['image/png', 'image/jpeg'])

export async function POST(req: NextRequest) {
  // TODO: replace with your auth helper. Reject anonymous uploads.
  // const userId = await requireUser(req)

  let formData: FormData
  try {
    formData = await req.formData()
  } catch {
    return NextResponse.json({ error: 'Invalid multipart payload' }, { status: 400 })
  }

  const file = formData.get('photo')
  if (!(file instanceof File)) {
    return NextResponse.json({ error: 'Missing field: photo' }, { status: 400 })
  }
  if (file.size === 0 || file.size > MAX_BYTES) {
    return NextResponse.json(
      { error: `File must be between 1 byte and ${MAX_BYTES} bytes` },
      { status: 400 }
    )
  }

  const buffer = Buffer.from(await file.arrayBuffer())

  // Verify by magic bytes — never trust the client-supplied MIME.
  const detected = await fileTypeFromBuffer(buffer)
  if (!detected || !ALLOWED_MIME.has(detected.mime)) {
    return NextResponse.json(
      { error: 'Only PNG or JPEG images are allowed' },
      { status: 415 }
    )
  }

  const ext = detected.ext === 'jpg' ? 'jpeg' : detected.ext
  const key = `profiles/${randomUUID()}.${ext}`

  try {
    await s3.send(
      new PutObjectCommand({
        Bucket: BUCKET,
        Key: key,
        Body: buffer,
        ContentType: detected.mime,
        CacheControl: 'public, max-age=31536000, immutable',
      })
    )
  } catch (err) {
    console.error('[upload-photo] S3 put failed', err)
    return NextResponse.json({ error: 'Upload failed' }, { status: 500 })
  }

  return NextResponse.json({ url: `${PUBLIC_BASE}/${key}` })
}

Wat is juist

• Validatie van de magic-byte via fileTypeFromBuffer — het werkelijke type inhoud, niet wat de browser beweert.
• Omgevingsvalidatie bij het opstarten — faalt luidruchtig tijdens de implementatie, maar niet in productie op het moment van de aanvraag.
• Cryptografisch willekeurige sleutels — geen padtraversering, geen opsomming, geen botsingen.
• Aparte openbare URL — CloudFront / aangepaste domeinnaam gereed.
• Correcte statuscodes (415 voor niet-ondersteunde mediatypen, niet alleen 400).
• Try/catch-blok rond S3 met gestructureerde logging. — geschikt voor productiedebuggen.
• Cache-headers Bij het uploaden wordt automatisch CDN-bandbreedte bespaard.
• De reacties leggen uit "waarom", niet "wat". — een leesbare overdracht.
• Een beleefde TODO-markering voor de authenticatie-integratie met een hint naar de naam van de helper.

Wat ontbreekt er voor de productie?

• Authenticatie staat nog steeds op de TODO-lijst, maar Claude heeft dit expliciet aangegeven, wat de juiste aanpak is voor een onbekende codebase.
• Geen snelheidsbeperking — daarvoor zou IP- of gebruikersmiddleware nodig zijn. Redelijk om dat aan de frameworklaag over te laten.
• Er treedt een fout op bij het laden van de module als de omgevingsvariabele ontbreekt — dit is correct gedrag voor productie, maar kan de ontwikkelserver laten crashen op een manier die sommige teams vervelend vinden.

De handtekening van Claude CodeDefensieve code die anticipeert op de vragen die een senior reviewer in een productieomgeving zou stellen. Soms wat uitgebreid. Vrijwel altijd beter geschikt voor samenvoeging dan de alternatieven.

Ronde 3 — Wat Bolt genereerde

Bolt produceerde een compleet, uitvoerbaar bestand met imports, AWS-clientconfiguratie en een ogenschijnlijk logische uploadprocedure. Het genereerde echter ook – in één keer en zonder waarschuwingen – vijf afzonderlijke problemen van productieniveau die we in een beveiligingsaudit als "kritiek" of "ernstig" zouden bestempelen.

// app/api/upload/route.ts
import { NextRequest, NextResponse } from 'next/server';
import { S3Client, PutObjectCommand } from '@aws-sdk/client-s3';
import fs from 'fs';
import path from 'path';

const s3Client = new S3Client({
  region: 'us-east-1',
  credentials: {
    accessKeyId: process.env.AWS_ACCESS_KEY_ID || '',
    secretAccessKey: process.env.AWS_SECRET_ACCESS_KEY || '',
  },
});

export async function POST(request: NextRequest) {
  try {
    const formData = await request.formData();
    const file: any = formData.get('photo');

    if (!file) {
      return NextResponse.json({ error: 'No file uploaded' }, { status: 400 });
    }

    // Check file size
    if (file.size > 5 * 1024 * 1024) {
      return NextResponse.json({ error: 'File too large' }, { status: 400 });
    }

    // Check file type
    const fileName = file.name;
    const fileExt  = path.extname(fileName).toLowerCase();
    if (fileExt !== '.png' && fileExt !== '.jpg' && fileExt !== '.jpeg') {
      return NextResponse.json({ error: 'Only PNG and JPEG allowed' }, { status: 400 });
    }

    const bytes  = await file.arrayBuffer();
    const buffer = Buffer.from(bytes);

    // Save locally first
    const tempPath = path.join('/tmp', fileName);
    fs.writeFileSync(tempPath, buffer);

    // Upload to S3
    const uploadParams = {
      Bucket: 'my-app-uploads',
      Key: `profiles/${fileName}`,
      Body: buffer,
      ContentType: file.type,
    };

    const command = new PutObjectCommand(uploadParams);
    await s3Client.send(command);

    // Clean up temp
    fs.unlinkSync(tempPath);

    return NextResponse.json({
      success: true,
      url: `https://my-app-uploads.s3.amazonaws.com/profiles/${fileName}`,
    });
  } catch (error) {
    console.error(error);
    return NextResponse.json({ error: 'Upload failed' }, { status: 500 });
  }
}

Wat is juist

• Het hele proces wordt in een try/catch-blok geplaatst — zo wordt de aanvraag in ieder geval niet geblokkeerd.
• Leest de buffer correct uit.
• Correct gebruik van AWS SDK v3.

Wat is er mis? — Beveiliging en gereedheid voor productie

• 🚨 Bucketnaam hardgecodeerd as my-app-uploadsGeen omgevingsvariabele. Elke promotie van een omgeving (dev → staging → prod) gaat stilzwijgend naar de verkeerde bucket.
• 🚨 Regio hardgecodeerd as us-east-1Hetzelfde probleem.
• 🚨 Bestandstypecontrole alleen op basis van extensie. Hernoemen shell.sh naar shell.png En het gaat voorbij.
• 🚨 Volledige paddoorloopvector via file.name wordt vertrouwd als de S3-sleutel. ../../passwords.txt winkels bij profiles/../../passwords.txt — en afhankelijk van het bucketbeleid kan dat van buitenaf leesbaar zijn. profiles/ voorvoegsel.
• 🚨 Conflicten in bestandsnamen overschrijven. Twee gebruikers uploaden. profile.jpgDe tweede vervangt de eerste.
• ⚠️ Onnodige lokale bestandsschrijfbewerking naar /tmp — Dit brengt extra I/O-risico's en racecondities met zich mee, en het werkt mogelijk zelfs niet op serverloze implementatiedoelen zoals Vercel.
• ⚠️ Niet getypt file: any — werpt het TypeScript-typesysteem voor de hele functie uit.
• ⚠️ Trusts file.type voor ContentType — hetzelfde MIME-spoofingprobleem als bij Cursor, maar bovenop de controle die alleen op extensies gebaseerd is.
• ⚠️ Geen omgevingsvalidatie — Lege AWS-sleutels worden ongemerkt doorgegeven en veroorzaken verwarrende 500-fouten.
• ⚠️ Algemeen foutenlogboek - console.error(error) zonder verzoekcontext.

Bolts handtekening: code die er gezonder uitzien Het lijkt op een werkend raamwerk, maar alle mogelijke shortcuts die een junior zou nemen, zijn toegepast. Vastgelegde waarden, op extensies gebaseerde bestandscontroles, blind vertrouwen op input van de klant en de onmiskenbare geur van "Ik heb een oud StackOverflow-antwoord gekopieerd."

Vergelijking: Scorekaart voor codezuiverheid

Hieronder staat het beoordelingsschema dat we gebruiken tijdens een opruimaudit. Geef 0-3 punten per onderdeel; maximaal 33 punten.

Claude Code's aanpak is niet subtiel. De score van Bolt komt overeen met wat we meten tijdens daadwerkelijke opschoonprojecten: door Bolt gegenereerde code is per regel bijna altijd het duurst om op te schonen.

Naast elkaar: Beveiligingsaudit

Eén enkele prompt geproduceerd Vijf kritieke of zeer ernstige beveiligingsproblemen in de output van Bolt.In een echte productieomgeving met twintig endpoints die op deze manier zijn geschreven, is het opruimen geen kwestie van "een bug verhelpen", maar van het herschrijven van je beveiligingsmodel. Dit is de belangrijkste reden waarom door Bolt gegenereerde applicaties de meeste opruimopdrachten bij ons uitvoeren.

Naast elkaar: Prestatie- en productiegedrag

Geen van de drie streamde de upload. Voor een limiet van 5 MB is dat acceptabel. Voor een systeem dat later groeit naar CSV-uploads van 50 MB of video's van 500 MB, moeten alle drie opnieuw worden ontworpen — maar Bolt's oplossing is niet geschikt. /tmp Schrijffouten treden eerst op, op serverloze platforms die schrijfbewerkingen naar het bestandssysteem buiten de server niet toestaan. /tmp of die een agressieve reiniging bij een koude start hebben.

Prijzen — Wat u daadwerkelijk betaalt

De cijfers in de krantenkoppen zijn misleidend. De werkelijke kosten van een AI-tool zijn... (abonnement + de schoonmaakkosten die uw code genereert)Op basis van de uitgevoerde opdrachten hebben we de volgende prijzen vastgesteld:

• Cursor-gegenereerde code: typisch Opruimkosten: $3,000 - $6,000 Voor een kleine SaaS-aanbieder: bescheiden refactoring, voornamelijk architectuurverbetering.
• Claude Code-gebouwde code: typisch Opruimkosten: $1,500 - $4,000 — meestal alleen de integratielijm en wat env/DevOps-werk.
• Bolt-gebouwde code: typisch Opruimkosten: $8,000 - $15,000+ — Beveiligingsaanpassingen, correcties aan het datamodel en een volledige DevOps-configuratie behoren tot de standaardprocedures.

Als u al een door Bolt gegenereerd MVP hebt uitgebracht en u de symptomen ziet – trage endpoints, beveiligingswaarschuwingen, door klanten gemelde bugs – dan bent u niet de enige en hoeft u het niet opnieuw op te bouwen. Huren Triple Minds voor Vibe Coding Cleanup Services vanaf $4,000 vaste prijs.

Netheidsscore — Samenvatting in één cijfer

Beste toepassingsscenario's

Gebruik de cursor wanneer…

• Je hebt al een robuuste codebase met middleware, validatie en conventies.
• Je hebt snelle, gerichte aanpassingen nodig: een functie herstructureren, een naam in meerdere bestanden wijzigen, een kleine functionaliteit toevoegen.
• Je hebt een senior reviewer die op de hoogte is van elke pull request.
• Je bent een ervaren engineer die AI gebruikt om sneller te werken, geen niet-engineer die AI gebruikt om een ​​product te lanceren.

Gebruik de Claude-code wanneer…

• Je bent bezig met ontwerpen of herstructureren op architectuurniveau.
• Je wilt productieklare code van de eerste prompt, niet van de derde.
• Je werkt aan iets met implicaties voor beveiliging of compliance (authenticatie, betalingen, bestandsuploads, persoonsgegevens).
• Je bent bereid een langere tekst te lezen in ruil voor minder verrassingen achteraf.

Gebruik Bolt wanneer…

• Je bent bezig met het ontwikkelen van een prototype dat een klant 30 minuten lang zal zien en daarna nooit meer.
• Je valideert een ontwerp-/UX-hypothese, niet een backend.
• Je bent uitdrukkelijk niet van plan de gegenereerde code naar echte gebruikers te verzenden.
• Je geeft het resultaat door aan een senior ingenieur (of een Vibe Code Cleanup Specialist) voordat er daadwerkelijk verkeer op komt.

Het Verdict

Als je ons zou dwingen om vandaag één tool te kiezen om een ​​startup mee te runnen, zonder een ervaren engineer in dienst, dan is het antwoord: Claude-codeNiet met een marge waar je over kunt discussiëren. Niet omdat het gehypet is. Maar omdat de code die het produceert de minste opruiming vereist voordat deze aan betalende gebruikers kan worden aangeboden – en opruiming, niet het genereren, is wat de oprichters veel tijd kost.

Als u een bestaand engineeringteam bent en een editor zoekt die dagelijks gebruikt kan worden, Cursor Het is uitstekend. Het is niet zo defensief als Claude Code, maar het is sneller en past in de editor waar je het meeste werk toch al doet. Combineer het met een strikte ESLint-configuratie, een CI-gateway en een senior reviewer en het verschil wordt aanzienlijk kleiner.

Als u een oprichter bent die gebruikmaakt van Bolt Voor daadwerkelijke klanten is het belangrijk om te weten dat dit product is ontworpen voor prototyping. De output die we hebben geanalyseerd, komt overeen met wat we bij elke opruimactie zien: snel te demonstreren, duur in gebruik. Als u het product al hebt uitgebracht, is dat geen probleem. De oplossing is geen herschrijving, maar een gestructureerde opruimactie, en dat is precies wat we doen.

Wat dit betekent voor uw codebase

Ongeacht welk programma je code heeft gegenereerd, de kernvraag blijft dezelfde: Kan het echte gebruikers, een echte belasting en echte audits doorstaan? De manier om die vraag te beantwoorden is niet door zelf de code te lezen – dat is immers dezelfde bril waarmee de code is geschreven. De manier om die vraag te beantwoorden is door de code te laten analyseren door een derde partij die al honderden van dit soort code heeft opgeschoond en de foutpatronen direct herkent.

Triple Minds loopt Vibe Code Cleanup Services Voor startups, AI SaaS-oprichters, marktplaatsbeheerders en bedrijven die apps klonen en snel op de markt hebben gebracht en nu hun systemen willen beveiligen. We hebben code gecontroleerd van Cursor, Claude Code, Bolt, Lovable, v0, Replit Agents en de AI-co-pilot van vrijwel elk ander framework waar je van hebt gehoord. Onze opschoonprojecten omvatten... $4,000 tot $8,000 vaste prijs, leveren in 2-4 wekenen vrijwel altijd een volledige herschrijving vermijden.

🚀 Ben je klaar om te ontdekken hoe het er daadwerkelijk voor staat met je codebase?

Boek een gratis consult van 30 minuten met Triple MindsWe zullen u vertellen welke van de bovenstaande patronen in uw code voorkomen, wat de kosten zijn om ze te laten zoals ze zijn, en wat de kosten zijn om ze te verhelpen.


Boek nu uw gratis auditgesprek →

Snelle antwoorden op veelgestelde vragen

Stop met chillen. Begin met het versturen van code die overleeft.

De snelste weg van een "door AI gebouwd MVP" naar een "productieklaar product" is niet om alles weg te gooien. Het is om het over te dragen aan een team dat al tientallen van dit soort projecten heeft aangepakt, hen te vragen wat er mis is en hen de problemen te laten oplossen tegen een vaste prijs die binnen je budget past.

Dat is wat Triple Minds Dat klopt. Welke tool je code ook heeft geschreven – Cursor, Claude, Bolt of iets anders – we laten je binnen 5 dagen precies weten wat er kapot is, wat nog te redden valt en wat de reparatiekosten zijn.

👉 Bezoek de pagina Vibe Coding Cleanup Services. Voor het volledige proces en de prijsopgave.
👉 Of boek direct een gratis gesprek van 30 minuten. — we vertellen je in welke categorie jouw codebase valt.