FrissGemini: november 17-től a Gemekből készségek lesznekÖsszes hír

Biztonsági átnézés élesítés előtt

Mielőtt idegenek is használják, amit AI-jal építettél: ellenőrzőlista a leggyakoribb hibákra, a kulcsoktól a jogosultságokon át a mentésig, súlyosság szerint rendezve.

Vibe codingProfiAjánlott eszközök: ChatGPT, Claude, GeminiFrissítve:

Töltsd ki a saját adataiddal

A sárgával jelölt részeket cseréld a saját adataidra.

Nézd át az alkalmazásomat élesítés előtt, kritikus szemmel. AI-eszközzel építettem, és nem vagyok biztonsági szakember. Mit csinál az alkalmazás, és ki használja: [ALKALMAZÁS] Milyen adatot kezel: [ADATOK] Technológia és tárhely: [TECHNOLÓGIA] Van-e belépés, fizetés, fájlfeltöltés: [KÉNYES FUNKCIÓK] Amit meg tudok mutatni (kód, beállítások, adatbázis-szabályok): [ANYAG] Menj végig ezeken, és mindegyiknél írd meg, mit találtál a megadott anyagban, és mit nem tudtál ellenőrizni: 1. Titkok: van-e kulcs vagy jelszó a kódban, a böngészőbe kerülő részben vagy a verziókezelőben. 2. Jogosultságok: láthatja vagy módosíthatja-e valaki más adatát, ha átír egy azonosítót a címsorban vagy a kérésben. 3. Adatbázis-szabályok: olvasható vagy írható-e kívülről olyan tábla, amelynek nem kellene. 4. Bevitt adatok: ellenőrzi-e a szerver is, amit a felhasználó beír vagy feltölt. 5. Visszaélés: védett-e a tömeges kérések, a robotok és a költséget okozó hívások ellen. 6. Hibák és naplók: kiír-e a felhasználónak belső részletet; kerül-e személyes adat a naplóba. 7. Mentés: van-e biztonsági mentés, és kipróbáltam-e a visszaállítást. Az eredményt rendezd három csoportba: élesítés előtt kötelező javítani, egy héten belül érdemes, ráér. Mindegyikhez adj egy mondatot, amelyet bemásolhatok a kódoló AI-nak javítási kérésként. Ne állítsd, hogy az alkalmazás biztonságos; csak azt mondd meg, mit találtál, és mit nem láttál.
Megnyitás: ChatGPTMegnyitás: ClaudeMegnyitás: Gemini

EllenőrzésCtrl + Enter: másolás

Példa: kitöltve, mintaválasszal

Alkalmazás
Edzésnapló: a felhasználók belépnek, és rögzítik az edzéseiket
Adatok
E-mail-cím, jelszó, testsúly, edzésadatok
Technológia
React, Supabase, Vercel
Kényes funkciók
Belépés e-mail-címmel; fizetés és fájlfeltöltés nincs
Anyag
(az adatbázis-szabályok és a lekérdezéseket tartalmazó fájl bemásolva)
Mintaválasz (Claude)

Élesítés előtt kötelező

  1. Az edzések táblája bárki számára olvasható. A megadott szabályok szerint a workouts táblán nincs sorszintű védelem, vagyis egy belépett felhasználó a többiek edzéseit és testsúlyát is lekérheti. Javítási kérés: „Kapcsold be a sorszintű védelmet a workouts táblán úgy, hogy mindenki csak a saját sorait olvashassa és írhassa.”
  2. A lekérdezés a böngészőből kapott felhasználói azonosítóban bízik. Javítási kérés: „A lekérdezések a bejelentkezett felhasználó azonosítóját a munkamenetből vegyék, ne a kérés paraméteréből.”

Egy héten belül 3. Nincs korlát a belépési próbálkozásokra. Kérés: „Állíts be korlátozást az ismételt belépési kísérletekre.” 4. A hibaüzenetek a teljes adatbázis-hibát kiírják. Kérés: „A felhasználó általános hibaüzenetet lásson, a részletek csak a naplóba kerüljenek.”

Ráér 5. A testsúly egészségügyi jellegű adat: írd le az adatkezelési tájékoztatóban, és legyen fióktörlés.

Amit nem tudtam ellenőrizni: a Vercel környezeti változóit, a mentések beállítását, és azt, hogy van-e kulcs a verziókezelő előzményeiben. Ezeket neked kell megnézned.

Szemléltető minta, Claude segítségével készült: azt mutatja, milyen jellegű és felépítésű válaszra számíthatsz. A többi ajánlott eszközzel a prompt várhatóan ugyanígy használható, de nem mindegyikben próbáltuk ki. A te eredményed más lesz. Hogyan készülnek a példák?

Miért működik?

Az AI-jal épített alkalmazások jellemző hibái ismétlődnek: nyitva hagyott adatbázis-tábla, böngészőbe került kulcs, hiányzó jogosultság-ellenőrzés. A prompt ezt a hét pontot kéri számon, és megköveteli, hogy a modell külön mondja meg, mit nem látott. Így nem kapsz hamis megnyugtatást.

A bemásolható javítási kérések miatt az eredményt azonnal tovább tudod adni a kódoló eszköznek.

Mire figyelj?

  • Ez az átnézés nem helyettesít szakértői vizsgálatot. Ha fizetést, egészségügyi vagy sok ember személyes adatát kezeled, kérj meg egy fejlesztőt is.
  • A beillesztett anyagból előbb töröld a valódi kulcsokat és jelszavakat. Ha egy kulcs már kikerült, cseréld le, ne csak töröld.
  • A modell csak azt látja, amit megmutatsz. Minél kevesebbet adsz meg, annál több marad a „nem tudtam ellenőrizni” listán.

Tippek eszközönként

Cursor, Claude Code
Kérd, hogy a teljes projektet olvassa végig, és a találatokhoz adjon fájlnevet és sorszámot. Javítani csak egyesével engedd.

Folytasd ezekkel

Ugyanabban a beszélgetésben küldd el, a válasz után.

  • Írd meg az első kötelező javítás pontos feladatát úgy, hogy más ne változzon.
  • Készíts rövid ellenőrzőlistát, amelyet minden élesítés előtt végigfutok.

Kapcsolódó promptok

Összes vibe coding prompt

Biztonsági audit fenyegetésmodellel

Végigveszi, ki és hogyan élhetne vissza az alkalmazásoddal, majd a kódot a tipikus hibákra nézi át: jogosultság, bemenet, titkok, függőségek. Súlyosság szerint rangsorol, és jelzi, amit a beillesztett részből nem lát.

Vibe coding

Alkalmazás élesítése lépésről lépésre

A gépeden működik, de hogyan lesz belőle elérhető weboldal? Személyre szabott ellenőrzőlista tárhelytől a saját domainen át az első mentésig, a költségekkel együtt.

Vibe coding

Tesztterv a kritikus felhasználói utakra

Kockázat szerint rangsorolja, mit kell tesztelni az alkalmazásodban, majd megírja a legfontosabb teszteket. Kézzel elvégezhető ellenőrzőlistát is ad azoknak, akik nem írnak automata tesztet.

Vibe coding

Hibakeresés módszeresen, feltevésekkel

Megállítja a találgatós javítgatást: a tünetekből rangsorolt feltevéseket állít fel, mindegyikhez egy ellenőrző lépést ad, és csak a bizonyított ok után javít. A javítás a lehető legkisebb marad.

Vibe coding