Кейси · Перевірка застосунку
Перевірка оплат і доступу в застосунку на Supabase і Stripe
Справжній публічний продукт, не зразок. Власникам спершу повідомили приватно, і поки знахідки відкриті, сторінка не називає ні застосунок, ні жодної окремої знахідки.
Жовтень 2026: власникам написано. Повний звіт і патчі — після їхньої відповіді.
Про кейс
Що перевірено
Публічний вебзастосунок на Supabase і Stripe. Перевірка охопила, хто що може читати й змінювати в базі, сховищі файлів і серверних функціях; оплати й повернення; ролі й доступ.
У чому складність
Тут гроші мають сходитися у двох місцях: що заплачено і що записав застосунок.
Як перевірено
Кожну знахідку відтворено на поточному коді власників, а кожну знахідку з патчем перевірено знову з ним; де висновок спирається лише на код, звіт так і каже. У кожній знахідці сказано, що сталося, що мало статися і звідки це очікування: власні екрани, тексти, код і документація застосунку або звичайна практика.
Результат
17 знахідок: 2 високі, 5 середніх, 10 низьких. 19 запропонованих патчів виправляють 14 повністю й 2 частково. Тести самих власників проходять до й після; один із них оновлено під виправлене правило. Одну знахідку лишено власникам як запитання, бо її виправлення залежить від продуктового рішення. Власникам повідомлено приватно в жовтні 2026 року. Якщо власники погодяться, коли виправлення вийдуть, сторінка назве проєкт і опише виправлені знахідки.
Знахідки за сферами
| Сфера | Високі | Середні | Низькі | Разом |
|---|---|---|---|---|
| Оплати | 2 | 1 | 3 | 6 |
| Дані й файли | — | 1 | 3 | 4 |
| Ролі й доступ | — | 3 | 3 | 6 |
| Інше | — | — | 1 | 1 |
| Разом | 2 | 5 | 10 | 17 |
Серйозність визначається наслідками та їхньою ймовірністю. «Варто виправити» тут означає критичні, високі або середні: у відшліфованому застосунку зі справжніми користувачами середня знахідка теж може до них дійти.
Які це дефекти
Більшість знахідок зводяться до кількох шаблонів, звичних для таких застосунків:
- Оплачені замовлення, що можуть застрягти
- Прогалини в тому, хто що може змінювати
- Кроки оплати без запобіжника
- Функції, що мовчки нічого не роблять
- Доступ, ширший за обіцяний
Що отримують власники
- Звіт з усіма знахідками: що сталося, що мало статися і чому, і де це в коді.
- 19 патчів поверх їхнього поточного коміту, з порядком, залежностями й порядком розгортання.
- 5 запитань про те, що можуть вирішити лише власники, і одна порада, яку не пораховано як знахідку.
- Відомі обмеження самих патчів: здебільшого збій в одну точну мить або рідкісний стан.
- Чого перевірка не охопила: деякі екрани й частину шляхів оплати.
Не замовлення: застосунок перевірено з власної ініціативи за його публічним кодом, без перевірок на живому сайті.
Як виглядає знахідка
Знахідки цього застосунку лишаються приватними, поки вони відкриті. Це той самий формат зі звіту про демонстраційний магазин.
Відкрити зразок звіту (PDF, англійською)Будь-який акаунт після входу може відкрити замовлення будь-якого гостя за номером
- ЯК ЗДАНО
- Сторінка замовлення відкривається: ім'я, вулиця, місто, пошта, телефон, що куплено.
- ПІСЛЯ ВИПРАВЛЕННЯ
- "We couldn't open this order."ВИПРАВЛЕНО
- ТЕСТ
- Чужий акаунт запитує замовлення гостя. До виправлення тест падав, після проходить.
Послуга
Така сама перевірка для вашого застосунку
Ви надсилаєте код або запрошуєте мене з доступом лише на читання, а не паролі. Кожна знахідка — з тим, що сталося, що мало статися і де це в коді.