Branje · za ustanovitelje po Lovable, Bolt, Replit ali Cursor

Varnostni kontrolni seznam za vibe-coded aplikacije: 12 stvari, ki jih preverite, preden vzamete denar

Zgradili ste jo v enem vikendu, ljudje so se prijavili, nekdo želi plačati. Preden to stori, posvetite uro temu seznamu. Nič od tega ne zahteva branja kode. Vse od tega je v zadnjem letu potopilo pravo aplikacijo.

Najprej opomba: to ni argument proti vibe codingu. Uporabili ste najhitrejše orodje, ki obstaja, da ugotovite, ali koga zanima, in ste ugotovili. »Deluje« in »varno je« sta preprosto različni lastnosti, model, ki je napisal vašo aplikacijo, pa vam bo samozavestno rekel, da ima obe. Preverite.

Skrivnosti

So v brskalniku kakšni API ključi?
Odprite aplikacijo v živo, pritisnite F12 in v zavihkih Sources in Network poiščite nize, ki se začnejo s sk_, sk-, AIza ali vsebujejo »secret«. Vse, kar najdete, je javno. Z njim lahko kdorkoli napihne vaš račun pri OpenAI ali Stripu - ljudje so se tako zbudili ob petmestnih računih.

Je vaš repozitorij javen in je bil kdaj commitan ključ?
Brisanje ključa iz datoteke ga ne izbriše iz zgodovine gita. Če je bil kdaj potisnjen, ga zamenjajte še danes.

Je servisni ključ vaše baze kjerkoli, kamor lahko pride uporabnik?
Ključ service_role pri Supabase in administratorske poverilnice Firebase obidejo vsako pravilo. Sodijo izključno na strežnik.

Kdo lahko vidi čigave podatke

Je varnost na ravni vrstic vklopljena za vsako tabelo?
Ustvarite dva testna računa. Prijavite se kot eden in poskusite zahtevati podatke drugega tako, da spremenite ID v URL-ju ali v zahtevi. Če jih vidite, jih lahko vsi. To je daleč najpogostejša ugotovitev v vibe-coded aplikacijah.

So administratorske strani zaščitene na strežniku ali le skrite?
Vpišite administratorski URL, medtem ko ste prijavljeni kot navaden uporabnik. Pot, ki le ni povezana, ni zaščitena.

Kako so shranjena gesla?
Če ste zgradili lastno prijavo namesto avtentikacije platforme, prosite model, naj vam pokaže tabelo. Če lahko preberete geslo, je shranjeno kot navadno besedilo. Preden se prijavi kdorkoli drug, preklopite na avtentikacijo platforme ali pravo knjižnico.

Denar

Se da plačilni zid obiti iz brskalnika?
Odprite razvijalska orodja, poiščite element, ki skriva premium funkcijo, ga izbrišite ali spremenite display:none. Če funkcija zdaj deluje, vaše preverjanje naročnine živi v sprednjem delu. Prave aplikacije so bile obidene z dvema vrsticama CSS. Preverjanje - »ali ima ta uporabnik aktivno naročnino?« - se mora zgoditi na strežniku, pri vsaki zahtevi.

So plačilni webhooki preverjeni?
Stripe, RevenueCat in trgovine z aplikacijami ob vsakem dogodku pošljejo podpis. Če ga vaša koda ne preveri, lahko kdorkoli vašemu strežniku pošlje lažno »plačilo uspelo«.

Kaj se zgodi ob vračilu, preklicu ali neuspelem podaljšanju?
Preizkusite vsakega. Srečna pot je bila generirana; nesrečne poti običajno niso bile.

Delovanje

Si razvoj in produkcija delita bazo?
Če ste kdaj »nekaj testirali« in so to videli pravi uporabniki, si jo. Ločeni projekti, ločeni ključi in način za vrnitev namestitve.

Imate kakršnokoli omejevanje zahtev?
Še posebej pri vsem, kar kliče LLM ali pošilja e-pošto. Brez tega en skript spremeni vaš račun za žetone v varnostni incident.

Kje fizično živijo osebni podatki vaših uporabnikov?
Privzete regije so pogosto v ZDA. Analitični SDK-ji in klici AI pošiljajo podatke tretjim osebam. Če so vaši uporabniki v Evropi, morate na to znati odgovoriti v enem stavku - vprašal bo korporativni kupec ali regulator.

Če ste našli več kot dve

Ustavite sprejemanje novih plačil, dokler niso odpravljene, nato naj vse skupaj pregleda izkušen inženir - večino tega je mogoče najti v enem popoldnevu in popraviti v nekaj dneh, brez prepisa. Mi ta pregled opravimo v nekaj dneh in zapišemo odločitev utrditi ali zgraditi znova, z razlogi.

Vibe-coded → produkcija →

Česa ne morete preveriti od zunaj

Zgornji seznam ujame glasne težave. Tihe - shema baze, ki se bo sesula pri desetkrat več vrsticah, odvisnost z znano ranljivostjo, opravilo v ozadju, ki tiho odpove, odsotnost kakršnegakoli testa, ki bi regresijo ujel pred uporabnikom - zahtevajo nekoga, ki prebere kodo. To je pregled, ne ponovna gradnja. Pazite se vsakogar, čigar prvi odgovor je »začnimo od začetka, šest mesecev, šestmestna vsota«: kar ste zgradili, je delujoča specifikacija, ki vsebuje vsako odločitev, ki ste jo sprejeli med pogovori s strankami. Ne plačajte iste aplikacije dvakrat.

Zadnjih 20 % ni več promptov

Vsak ustanovitelj, ki je izdelek naredil z vibe codingom, pozna zid: vsak popravek pokvari nekaj drugega, aplikacija je počasnejša, samozavest modela pa ostaja natanko tam, kjer je bila. To ni težava s prompti. To je točka, kjer se začne inženirstvo - testi, struktura, dolgočasna zanesljivost. Svoje izdelke izdajamo s Claude Code in natanko vemo, kje so orodja briljantna in kje tiho lažejo. Če želite drugi par oči, pošljite povezavo do repozitorija in tisto eno stvar, ki vas najbolj skrbi, na WhatsApp.

Vibe-coded → produkcija → Naslednje: vaši razvijalci se ne odzivajo več → Valas →