Кейсы · Проверка приложения
Проверка доступа и подписки в приложении на Supabase и Stripe
Настоящий публичный продукт, не образец. Владельцам сначала сообщили приватно, и пока находки открыты, страница не называет ни приложение, ни одну отдельную находку.
Октябрь 2026: владельцам написано. Полный отчёт и патчи — после их ответа.
О кейсе
Что проверено
Публичное веб-приложение на Supabase и Stripe. Проверка охватила, кто что может читать и менять в базе, хранилище файлов и серверных функциях, роль за ролью; подписку Stripe от оформления до функций каждого тарифа; и экраны, которые видит каждая роль.
Что не входит в счёт
Счёт не включает то, что собственная работа владельцев закрыла или покрыла к последней проверке.
Как проверено
Находки воспроизведены на коде владельцев, а те, у которых есть патч, проверены заново с ним; где вывод опирается только на код, отчёт так и говорит. Находки по подписке проверены на документированных событиях и ответах Stripe, а не на живом аккаунте Stripe. В каждой находке сказано, что произошло, что должно было произойти и откуда это ожидание: собственные экраны, тексты, код и документация приложения или обычная практика.
Результат
102 находки: 13 высоких, 41 средняя, 48 низких. Патчи подготовлены для большинства из них: первый набор дал на собственных тестах владельцев те же результаты, что и их код, и будет пересобран перед отправкой. Часть находок оставлена владельцам, потому что им нужно решение, которое могут принять только они. Владельцам сообщено приватно в октябре 2026 года. Если владельцы согласятся, когда исправления выйдут, страница назовёт проект и опишет исправленные находки.
Находки по областям
| Область | Высокие | Средние | Низкие | Всего |
|---|---|---|---|---|
| Подписка и оплаты | 4 | 2 | 5 | 11 |
| Данные и серверный код, по ролям | 9 | 37 | 39 | 85 |
| Экраны | — | 2 | 4 | 6 |
| Всего | 13 | 41 | 48 | 102 |
Серьёзность определяется последствиями и их вероятностью. «Стоит исправить» здесь значит критические, высокие или средние: в отполированном приложении с настоящими пользователями средняя находка тоже может до них дойти.
Какие это дефекты
Большинство находок складываются в несколько шаблонов, обычных для таких приложений:
- Доступ шире роли
- Состояние подписки, которое расходится со Stripe
- Функции, которые молча ничего не делают
- Неверные денежные суммы на экранах
Что получают владельцы
- Отчёт со всеми находками: что произошло, что должно было произойти и почему, и где это в коде.
- Патчи для большинства находок поверх их последнего кода, с порядком и зависимостями между ними.
- Вопросы о том, что могут решить только владельцы: их настройки, настройки Stripe, продуктовые решения.
- Известные ограничения самих патчей и то, чего проверка не охватила.
Не заказ: приложение проверено по собственной инициативе по его публичному коду, без проверок на живом сайте.
Как выглядит находка
Находки этого приложения остаются приватными, пока они открыты. Это тот же формат из отчёта о демонстрационном магазине.
Открыть образец отчёта (PDF, на английском)Любой аккаунт после входа может открыть заказ любого гостя по номеру
- КАК СДАНО
- Страница заказа открывается: имя, улица, город, почта, телефон, что куплено.
- ПОСЛЕ ИСПРАВЛЕНИЯ
- "We couldn't open this order."ИСПРАВЛЕНО
- ТЕСТ
- Чужой аккаунт запрашивает заказ гостя. До исправления тест падал, после проходит.
Услуга
Такая же проверка для вашего приложения
Вы присылаете код или приглашаете меня с доступом только на чтение, а не пароли. Каждая находка — с тем, что произошло, что должно было произойти и где это в коде.