كيفية تأمين تطبيق مبني بأدوات الترميز بالذكاء الاصطناعي

لماذا تفشل التطبيقات التي تم إنشاؤها AI- بشكل مختلف

يمكن أن تكون التطبيقات المشفرة بـ Vibe آمنة. إنهم بحاجة إلى تصريح تدقيق إضافي لأن أوضاع الفشل هيكلية وليست مهملة:

• Cursor inlines hardcoded keys. أنت تطلب من Cursor "إصلاح خطأ المصادقة"، وتقوم بلصق مثال Supabase الذي يفترض عميل دور الخدمة. ينتهي المفتاح في أعلى مكون الصفحة. يتواجد كل من العميل المجهول وعميل الخدمة معًا؛ كلا السفينة.
• Claude Code defaults to permissive CORS. يتم شحن معالجات Generated Express / Fastify مع cors({ origin: '*' }) لأن هذه هي أسرع طريقة للحصول على معاينة عملية. لا تحصل البرامج الوسيطة على تمريرة ثانية أبدًا.
• Lovable and v0 skip the rules file. تنشئ المشاريع المدعومة من Firestore نموذج البيانات ولكن نادرًا ما تلمس firestore.rules. تنتهي صلاحية قواعد وضع الاختبار بصمت ويتم قفل قاعدة البيانات دون أي تحذير للمستخدم.
• Bolt skips RLS migrations. Bolt ينشئ مخططًا Supabase وسطحًا CRUD يستخدم المفتاح المجهول. ENABLE ROW LEVEL SECURITY لا يدخل في عملية الترحيل مطلقًا. يمكن للمستخدمين المجهولين قراءة أو كتابة أي صف.
• Windsurf trusts unsigned IDs. الذي تم إنشاؤه GET /api/items/[id] يقرأ المعلمة ويستعلم عن Postgres دون التحقق من الملكية. النمط شائع بدرجة كافية بحيث يظهره المسبار النشط active.idor-walking خلال عملية مسح واحدة.

التدقيق الفوري: grep قاعدة التعليمات البرمجية الخاصة بك لأنماط المخاطر

قبل أن تصلب أي شيء، ابحث عن ما تم كسره بالفعل. تستغرق كل هذه الخطوات أقل من دقيقة:

grep -RIn 'NEXT_PUBLIC_SUPABASE_SERVICE' src/
grep -RIn 'sk_live_\|pk_live_\|STRIPE_SECRET' src/
grep -RIn 'sk-ant-\|^sk-' src/  # Anthropic / OpenAI
grep -RIn 'AIza\|AKIA' src/        # Google / AWS
grep -RIn 'eyJh[A-Za-z0-9_-]\{20,\}' src/  # JWT-shaped strings

# Supabase migrations
grep -RIn 'CREATE TABLE public\.' supabase/migrations/
grep -RIn 'ENABLE ROW LEVEL SECURITY\|FORCE ROW LEVEL SECURITY' supabase/migrations/

# Firebase / Firestore
cat firestore.rules  # confirm no `if true;` matches

grep -RIn 'getSession()' src/   # should be getUser() server-side
grep -RIn 'localStorage\.\(set\|get\)Item.*token' src/
grep -RIn 'jwt.verify.*\(noVerify\|skipVerify\)' src/

# Confirm middleware location for src/ layouts
ls src/middleware.ts middleware.ts 2>&1

# Look for CSP and security headers
grep -RIn 'Content-Security-Policy\|Strict-Transport-Security' src/

تصلب في وقت النشر

بمجرد تنظيف المصدر، قم بتأمين كيفية وصول التطبيق إلى مرحلة الإنتاج.

// src/middleware.ts
import { NextResponse, type NextRequest } from 'next/server';

export function middleware(request: NextRequest) {
  const nonce = crypto.randomUUID().replace(/-/g, '');
  const csp = [
    `script-src 'nonce-${nonce}' 'strict-dynamic'`,
    `style-src 'self' 'unsafe-inline'`,
    `img-src 'self' data: https:`,
    `connect-src 'self' https://*.supabase.co`,
    `object-src 'none'`,
    `base-uri 'self'`,
    `frame-ancestors 'none'`,
  ].join('; ');

  const requestHeaders = new Headers(request.headers);
  requestHeaders.set('x-nonce', nonce);

  const response = NextResponse.next({ request: { headers: requestHeaders } });
  response.headers.set('Content-Security-Policy', csp);
  response.headers.set('X-Content-Type-Options', 'nosniff');
  response.headers.set('Strict-Transport-Security', 'max-age=31536000; includeSubDomains');
  return response;
}

export const config = {
  matcher: ['/((?!_next/static|_next/image|favicon.ico).*)'],
};

-- supabase/migrations/XXXX_rls.sql
alter table public.profiles enable row level security;
alter table public.profiles force row level security;

create policy "profiles: read own"
  on public.profiles for select
  using (auth.uid() = id);

create policy "profiles: update own"
  on public.profiles for update
  using (auth.uid() = id)
  with check (auth.uid() = id);

// src/app/api/items/route.ts
import { NextResponse, type NextRequest } from 'next/server';
import { createClient } from '@/lib/supabase/server';

export async function POST(request: NextRequest) {
  const supabase = await createClient();
  const { data: { user } } = await supabase.auth.getUser();
  if (!user) return NextResponse.json({ error: 'unauthorized' }, { status: 401 });

  const body = await request.json();
  const { data, error } = await supabase
    .from('items')
    .insert({ ...body, user_id: user.id })  // server-supplied, not from body
    .select()
    .single();

  if (error) return NextResponse.json({ error: error.message }, { status: 400 });
  return NextResponse.json(data);
}

// src/app/api/posthog/[...path]/route.ts
import { type NextRequest } from 'next/server';

const UPSTREAM = 'https://us.i.posthog.com';

export async function POST(req: NextRequest, { params }: { params: Promise<{ path: string[] }> }) {
  const { path } = await params;
  const url = `${UPSTREAM}/${path.join('/')}`;
  return fetch(url, {
    method: 'POST',
    headers: { 'content-type': req.headers.get('content-type') ?? 'application/json' },
    body: await req.text(),
  });
}

function safeNext(raw: string | null): string {
  if (!raw) return '/dashboard';
  if (!raw.startsWith('/') || raw.startsWith('//')) return '/dashboard';
  return raw;
}

مستمر: المراقبة وإعادة المسح

يحدث الانجراف عند كل عملية نشر. تعامل مع الأمان كحلقة، وليس قائمة مرجعية تنتهي منها.

# Or from CI, via the REST API:
curl -X POST https://fixvibe.app/api/v1/scans \
  -H "authorization: Bearer $FIXVIBE_TOKEN" \
  -H "content-type: application/json" \
  -d '{"target":"https://your-app.com"}'

أنماط الفشل الحقيقية وإصلاحاتها

خمسة أنماط من عمليات فحص الإنتاج عبر الآلاف من التطبيقات AI- التي تم إنشاؤها، كل منها يحتوي على الإصلاح الفعلي:

1. مفتاح دور الخدمة في مكون العميل

   Symptom: baas.supabase-service-key العثور على الإنتاج URL. Cause: تم لصق Cursor الإكمال التلقائي createClient(URL, SERVICE_ROLE_KEY) في مكون React. Fix: انقل عميل الخدمة إلى src/lib/supabase/service.ts مع وجود import 'server-only' في الأعلى؛ إنشاء src/lib/supabase/client.ts موازٍ باستخدام المفتاح المجهول للاستخدام من جانب العميل؛ قم بتدوير مفتاح دور الخدمة عبر Supabase Studio.

2. تركت قواعد Firestore في وضع الاختبار

   Symptom: baas.firebase-rules اكتشاف عالي الخطورة. Cause: قراءة القواعد التي تم إنشاؤها allow read, write: if request.time < timestamp.date(2026, 6, 1); - "السماح للجميع" محدد بالوقت. Fix: نطاق كل قاعدة للمستخدم المصادق عليه - match /users/{userId}/posts/{postId} { allow read, write: if request.auth.uid == userId; } - وأعد النشر firebase deploy --only firestore:rules.

3. مسموح CORS بالبقاء في مرحلة الإنتاج

   Symptom: active.cors شديدة الخطورة. Cause: تم إنشاء برنامج وسيط سريع: app.use(cors({ origin: '*' })). Fix: القائمة المسموح بها لأصل الواجهة الأمامية: app.use(cors({ origin: ['https://your-app.com'], credentials: true })). بالنسبة للمسارات Next.js API، قم بتعيين Access-Control-Allow-Origin بشكل صريح في الاستجابة.

4. RLS ممكّن ولكن ليس قسريًا

   Symptom: نشط baas.supabase-rls يُبلغ عن إمكانية كتابة الدور المجهول في جدول عام على الرغم من تمكين RLS في لوحة المعلومات. Cause: ENABLE بدون FORCE يترك مالك الجدول معفيًا - ويتم تشغيل عمليات الترحيل كمالك. Fix: قم بإلحاق alter table public.items force row level security; بالترحيل. إعادة النشر.

5. معرفات غير موقعة IDOR- قابلة للمشي

   Symptom: active.idor-walking تقارير يمكن للمستخدم المجهول قراءة /api/items/1، /api/items/2، ... عبر المستأجرين. Cause: يثق المعالج API بمعلمة المسار ويستعلم عن Postgres بدون مسند ملكية. Fix: أضف .eq('user_id', user.id) في كل استعلام قراءة، أو انتقل إلى عناوين URL الموقعة / UUIDs المحددة ضمن /api/users/[uid]/items/[id].

حلقة الأمان ذات الرمز الحيوي

الهدف ليس الأمن المثالي؛ إنها تقضي على الثمار المنخفضة التي تفتقدها الأدوات AI باستمرار حتى تتمكن من الاستمرار في الشحن بسرعة.

1. Generate fast - ​​استخدم Cursor، Claude Code، Lovable، Bolt. هذه هي النقطة.
2. Audit immediately - ​​قم بتشغيل مجموعة grep أعلاه، وتحقق من RLS، وتحقق من CSP، وراجع حدود المصادقة.
3. Harden at deploy - ​​البرامج الوسيطة، فصل البيئة، CSP nonce، HSTS، التحقق من مصادقة الخادم فقط.
4. Monitor — FixVibe سلبي يوميًا، ونشط أسبوعيًا على نطاق تم التحقق منه، وخطافات الويب إلى Slack، واكتشاف التهديدات على Unlimited.
5. Fix fast — use FixVibe coding-agent prompts for code/config findings and operator steps for DNS, provider, secret-rotation, or manual-review findings. Re-deploy, re-scan, close the loop.

الخطوات التالية

للحصول على الخلفية المفاهيمية لـ DAST مقابل SAST ولماذا تحتاج التطبيقات التي تم إنشاؤها AI- إلى المسح الضوئي الخاص بها، اقرأ AI-generated code security scanning. للحصول على مرجع سريع لمراجعة ما قبل الشحن، راجع vibe coding security checklist.