Кейсы · Проверка приложения
Проверка оплат и доступа в приложении на Supabase и Stripe
Настоящий публичный продукт, не образец. Владельцам сначала сообщили приватно, и пока находки открыты, страница не называет ни приложение, ни одну отдельную находку.
Октябрь 2026: владельцам написано. Полный отчёт и патчи — после их ответа.
О кейсе
Что проверено
Публичное веб-приложение на Supabase и Stripe. Проверка охватила, кто что может читать и менять в базе, хранилище файлов и серверных функциях; оплаты и возвраты; роли и доступ.
В чём сложность
Здесь деньги должны сходиться в двух местах: что заплачено и что записало приложение.
Как проверено
Каждая находка воспроизведена на текущем коде владельцев, а каждая находка с патчем проверена заново с ним; где вывод опирается только на код, отчёт так и говорит. В каждой находке сказано, что произошло, что должно было произойти и откуда это ожидание: собственные экраны, тексты, код и документация приложения или обычная практика.
Результат
17 находок: 2 высокие, 5 средних, 10 низких. 19 предложенных патчей исправляют 14 полностью и 2 частично. Собственные тесты владельцев проходят до и после; один из них обновлён под исправленное правило. Одна находка оставлена владельцам как вопрос, потому что её исправление зависит от продуктового решения. Владельцам сообщено приватно в октябре 2026 года. Если владельцы согласятся, когда исправления выйдут, страница назовёт проект и опишет исправленные находки.
Находки по областям
| Область | Высокие | Средние | Низкие | Всего |
|---|---|---|---|---|
| Оплаты | 2 | 1 | 3 | 6 |
| Данные и файлы | — | 1 | 3 | 4 |
| Роли и доступ | — | 3 | 3 | 6 |
| Другое | — | — | 1 | 1 |
| Всего | 2 | 5 | 10 | 17 |
Серьёзность определяется последствиями и их вероятностью. «Стоит исправить» здесь значит критические, высокие или средние: в отполированном приложении с настоящими пользователями средняя находка тоже может до них дойти.
Какие это дефекты
Большинство находок складываются в несколько шаблонов, обычных для таких приложений:
- Оплаченные заказы, которые могут застрять
- Пробелы в том, кто что может менять
- Шаги оплаты без подстраховки
- Функции, которые молча ничего не делают
- Доступ шире обещанного
Что получают владельцы
- Отчёт со всеми находками: что произошло, что должно было произойти и почему, и где это в коде.
- 19 патчей поверх их текущего коммита, с порядком, зависимостями и порядком выкладки.
- 5 вопросов о том, что могут решить только владельцы, и один совет, который не посчитан находкой.
- Известные ограничения самих патчей: в основном сбой в один точный момент или редкое состояние.
- Чего проверка не охватила: некоторые экраны и часть путей оплаты.
Не заказ: приложение проверено по собственной инициативе по его публичному коду, без проверок на живом сайте.
Как выглядит находка
Находки этого приложения остаются приватными, пока они открыты. Это тот же формат из отчёта о демонстрационном магазине.
Открыть образец отчёта (PDF, на английском)Любой аккаунт после входа может открыть заказ любого гостя по номеру
- КАК СДАНО
- Страница заказа открывается: имя, улица, город, почта, телефон, что куплено.
- ПОСЛЕ ИСПРАВЛЕНИЯ
- "We couldn't open this order."ИСПРАВЛЕНО
- ТЕСТ
- Чужой аккаунт запрашивает заказ гостя. До исправления тест падал, после проходит.
Услуга
Такая же проверка для вашего приложения
Вы присылаете код или приглашаете меня с доступом только на чтение, а не пароли. Каждая находка — с тем, что произошло, что должно было произойти и где это в коде.