Кейси · Перевірка застосунку
Перевірка доступу й підписки в застосунку на Supabase і Stripe
Справжній публічний продукт, не зразок. Власникам спершу повідомили приватно, і поки знахідки відкриті, сторінка не називає ні застосунок, ні жодної окремої знахідки.
Жовтень 2026: власникам написано. Повний звіт і патчі — після їхньої відповіді.
Про кейс
Що перевірено
Публічний вебзастосунок на Supabase і Stripe. Перевірка охопила, хто що може читати й змінювати в базі, сховищі файлів і серверних функціях, роль за роллю; підписку Stripe від оформлення до функцій кожного тарифу; і екрани, які бачить кожна роль.
Що не входить у рахунок
Рахунок не включає те, що власна робота власників закрила або покрила до останньої перевірки.
Як перевірено
Знахідки відтворено на коді власників, а ті, що мають патч, перевірено знову з ним; де висновок спирається лише на код, звіт так і каже. Знахідки щодо підписки перевірено на задокументованих подіях і відповідях Stripe, а не на живому акаунті Stripe. У кожній знахідці сказано, що сталося, що мало статися і звідки це очікування: власні екрани, тексти, код і документація застосунку або звичайна практика.
Результат
102 знахідки: 13 високих, 41 середня, 48 низьких. Патчі підготовлено для більшості з них: перший набір дав на тестах самих власників ті самі результати, що і їхній код, і перед надсиланням його буде перезібрано. Частину знахідок лишено власникам, бо вони потребують рішення, яке можуть ухвалити лише власники. Власникам повідомлено приватно в жовтні 2026 року. Якщо власники погодяться, коли виправлення вийдуть, сторінка назве проєкт і опише виправлені знахідки.
Знахідки за сферами
| Сфера | Високі | Середні | Низькі | Разом |
|---|---|---|---|---|
| Підписка й оплати | 4 | 2 | 5 | 11 |
| Дані й серверний код, за ролями | 9 | 37 | 39 | 85 |
| Екрани | — | 2 | 4 | 6 |
| Разом | 13 | 41 | 48 | 102 |
Серйозність визначається наслідками та їхньою ймовірністю. «Варто виправити» тут означає критичні, високі або середні: у відшліфованому застосунку зі справжніми користувачами середня знахідка теж може до них дійти.
Які це дефекти
Більшість знахідок зводяться до кількох шаблонів, звичних для таких застосунків:
- Доступ, ширший за роль
- Стан підписки, що розходиться зі Stripe
- Функції, що мовчки нічого не роблять
- Неправильні грошові суми на екранах
Що отримують власники
- Звіт з усіма знахідками: що сталося, що мало статися і чому, і де це в коді.
- Патчі для більшості знахідок поверх їхнього останнього коду, з порядком і залежностями між ними.
- Запитання про те, що можуть вирішити лише власники: їхні налаштування, налаштування Stripe, продуктові рішення.
- Відомі обмеження самих патчів і те, чого перевірка не охопила.
Не замовлення: застосунок перевірено з власної ініціативи за його публічним кодом, без перевірок на живому сайті.
Як виглядає знахідка
Знахідки цього застосунку лишаються приватними, поки вони відкриті. Це той самий формат зі звіту про демонстраційний магазин.
Відкрити зразок звіту (PDF, англійською)Будь-який акаунт після входу може відкрити замовлення будь-якого гостя за номером
- ЯК ЗДАНО
- Сторінка замовлення відкривається: ім'я, вулиця, місто, пошта, телефон, що куплено.
- ПІСЛЯ ВИПРАВЛЕННЯ
- "We couldn't open this order."ВИПРАВЛЕНО
- ТЕСТ
- Чужий акаунт запитує замовлення гостя. До виправлення тест падав, після проходить.
Послуга
Така сама перевірка для вашого застосунку
Ви надсилаєте код або запрошуєте мене з доступом лише на читання, а не паролі. Кожна знахідка — з тим, що сталося, що мало статися і де це в коді.