大模型擅长把功能跑通，却不擅长判断代码是否安全，例如生成登录校验时可能优先保证流程顺畅，而忽略会话过期、Token 校验强度等细节。