İçeriğe geç
Üye girişiÜye ol

Komünite dizini · güvenlik ve sağlamlık

Açığı başkası bulmadan sen bul.

Yapay zekâyla yazılan kodda aynı açıklar tekrar tekrar çıkıyor. Vibecheck her birini tek sayfada anlatır. Her sayfada 60 saniyelik bir kontrol, düzeltilmiş kod ve kodlama ajanına ekleyeceğin bir kural var.

İlk kontrolü yapKategorilere bak

Nasıl kullanılır

  1. 01Uygulamana yakın kategoriyi aç.Supabase, ödeme, LLM ya da kodlama ajanı. Her kategori uygulamanın bir katmanı.
  2. 0260 saniyelik kontrolü yap.Her maddenin başında, tarayıcıdan ya da terminalden yapılan birkaç adım var.
  3. 03Düzelt, sonra kuralı ajanına ver.Düzeltilmiş kodu uygula, maddenin sonundaki kuralı ajanının ayar dosyasına ekle.

Güvenlik

Başkasının senin verine, hesabına ya da faturana uzanabildiği açıklar.

11 kategori · 30 madde

  1. 01Kimlik doğrulama ve oturumGiriş yapan kişinin gerçekten o kişi olduğunu kanıtlayan katman. Parola, oturum, token ve sıfırlama bağlantısı burada yaşar.ACİL önem: ACİL önem: ACİL önem: ACİL önem: ACİL önem: YÜKSEK önem: YÜKSEK önem: 7 madde
  2. 02YetkilendirmeGiriş yapmış birinin yalnız kendi verisine ve kendi rolünün izin verdiği işlere ulaşması. Ajanla kurulan uygulamalarda açığın en sık çıktığı yer.ACİL önem: ACİL önem: ACİL önem: ACİL önem: ACİL önem: ACİL önem: ACİL önem: YÜKSEK önem: 8 madde
  3. 03Veri katmanı kurallarıSupabase ve Firebase gibi servislerde tarayıcının doğrudan konuştuğu veritabanı ve depolama. Buradaki kural, sunucudaki kodun yerine geçer.ACİL önem: ACİL önem: ACİL önem: ACİL önem: ACİL önem: ACİL önem: ACİL önem: YÜKSEK önem: YÜKSEK önem: 9 madde
  4. 04Sırlar ve kişisel veriAPI anahtarları, veritabanı parolaları ve kullanıcıların kişisel bilgisi. Bir kez sızan sır geri alınmaz, yalnız değiştirilir.ACİL önem: 1 madde
  5. 05Enjeksiyon ve güvenilmeyen girdiDışarıdan gelen metnin komut, sorgu, adres ya da sayfa koduna dönüştüğü yerler. Kullanıcı, belge ve başka bir servis aynı ölçüde güvenilmezdir.yazılıyor
  6. 06Yayın ve web sertleştirmeKodun kendisi doğru olsa da canlı ortamın ayarı açık bırakabilir. Hata ayıklama kipi, başlıklar, önizleme ortamları ve kaynak haritaları burada.yazılıyor
  7. 07Ödeme ve iş mantığıPara ve hak değiştiren akışlar. Fiyatın, ödemenin ve erişimin nerede doğrulandığı, istemcinin söylediğine nerede güvenildiği.ACİL önem: 1 madde
  8. 08Kötüye kullanım ve maliyetAçık değil ama herkese açık bir uç. İstek sınırı olmayan giriş formu, sınırsız e-posta gönderen kayıt ya da faturası sana gelen LLM çağrısı.YÜKSEK önem: 1 madde
  9. 09Tedarik zinciriKurduğun her paket, senin adına kod çalıştırır. Uydurma paket adları, kurulumda çalışan betikler ve sabitlenmemiş sürümler burada.ACİL önem: 1 madde
  10. 10Uygulama içi LLM özellikleriUygulamanın içindeki sohbet, özet ya da asistan. Modele giden metin talimata, modelden dönen metin koda dönüşebilir.YÜKSEK önem: 1 madde
  11. 11Ajan ve geliştirme ortamıKodu yazan ajanın kendisi ve çalıştığı makine. Ajanın elindeki token, açtığın depo ve kurduğun MCP sunucusu birer saldırı yüzeyi.ACİL önem: 1 madde

Sağlamlık

Trafik artınca, bir servis yanıt vermeyince ya da aynı istek iki kez gelince bozulan yerler.

5 kategori · 1 madde

  1. 12Hata yolları ve dış çağrılarHer şey yolundayken çalışan kod, bir servis yavaşladığında ya da bir adım düştüğünde ne yapıyor. Yarım kalan işlem en pahalı arızadır.yazılıyor
  2. 13Eşzamanlılık ve tutarlılıkAynı istek iki kez ya da aynı anda geldiğinde. Çift tık, ağ tekrarı ve yeniden gönderilen webhook her gün olur.YÜKSEK önem: 1 madde
  3. 14Performans ve ölçekYüz kayıtla hızlı olan sayfa, yüz bin kayıtta durur. Döngüdeki sorgu ve sayfalamasız liste ilk kullanıcı dalgasında ortaya çıkar.yazılıyor
  4. 15Gözlem, yedek ve kurtarmaBir şey bozulduğunda bunu fark edebiliyor musun ve geri dönebiliyor musun. Denenmemiş yedek, yedek değildir.yazılıyor
  5. 16Sözleşmeler ve testlerModüller birbirinden ne bekliyor ve testler gerçekten neyi kanıtlıyor. Ajanın "düzelttim" dediği şeyin düzeldiğini gösteren tek şey test.yazılıyor