AI कोडिंग टूल्स से बनी ऐप को कैसे सुरक्षित करें

AI- जेनरेट किए गए ऐप्स अलग-अलग तरीके से विफल क्यों होते हैं

वाइब-कोडित ऐप्स सुरक्षित हो सकते हैं। उन्हें अतिरिक्त ऑडिट पास की आवश्यकता है क्योंकि विफलता मोड संरचनात्मक हैं, लापरवाह नहीं:

• Assistants inline hardcoded keys. You ask for a fix to an auth error and get a pasted Supabase example that assumes a service-role client. The key ends up at the top of a page component. Both the anon client and the service client coexist; both ship.
• Generated servers default to permissive CORS. Generated Express / Fastify handlers often ship with cors({ origin: '*' }) because that's the fastest way to get a working preview. The middleware never gets a second pass.
• Rules files get skipped. Firestore-backed projects generate the data model but rarely touch firestore.rules. Test-mode rules let anyone read and overwrite data until someone replaces them.
• RLS never enters the migration. A generated Supabase schema and CRUD surface use the anon key, but ENABLE ROW LEVEL SECURITY never enters the migration. Anonymous users can read or write any row.
• Handlers trust IDs. A generated GET /api/items/[id] reads the param and queries Postgres without verifying ownership. Active scans on a verified domain test for this (IDOR / BOLA).

तत्काल ऑडिट: जोखिम पैटर्न के लिए अपना कोडबेस तैयार करें

इससे पहले कि आप किसी चीज़ को सख्त करें, जो पहले से ही टूटा हुआ है उसे ढूंढें। इन ग्रेप्स में से प्रत्येक को एक मिनट से कम समय लगता है:

grep -RIn 'NEXT_PUBLIC_SUPABASE_SERVICE' src/
grep -RIn 'sk_live_\|pk_live_\|STRIPE_SECRET' src/
grep -RIn 'sk-ant-\|^sk-' src/  # Anthropic / OpenAI
grep -RIn 'AIza\|AKIA' src/        # Google / AWS
grep -RIn 'eyJh[A-Za-z0-9_-]\{20,\}' src/  # JWT-shaped strings

# Supabase migrations
grep -RIn 'CREATE TABLE public\.' supabase/migrations/
grep -RIn 'ENABLE ROW LEVEL SECURITY\|FORCE ROW LEVEL SECURITY' supabase/migrations/

# Firebase / Firestore
cat firestore.rules  # confirm no `if true;` matches

grep -RIn 'getSession()' src/   # should be getUser() server-side
grep -RIn 'localStorage\.\(set\|get\)Item.*token' src/
grep -RIn 'jwt.verify.*\(noVerify\|skipVerify\)' src/

# Confirm middleware location for src/ layouts
ls src/middleware.ts middleware.ts 2>&1

# Look for CSP and security headers
grep -RIn 'Content-Security-Policy\|Strict-Transport-Security' src/

तैनाती के समय सख्त होना

एक बार स्रोत साफ हो जाने पर, ऐप के उत्पादन तक पहुंचने के तरीके को लॉक कर दें।

// src/middleware.ts
import { NextResponse, type NextRequest } from 'next/server';

export function middleware(request: NextRequest) {
  const nonce = crypto.randomUUID().replace(/-/g, '');
  const csp = [
    `script-src 'nonce-${nonce}' 'strict-dynamic'`,
    `style-src 'self' 'unsafe-inline'`,
    `img-src 'self' data: https:`,
    `connect-src 'self' https://*.supabase.co`,
    `object-src 'none'`,
    `base-uri 'self'`,
    `frame-ancestors 'none'`,
  ].join('; ');

  const requestHeaders = new Headers(request.headers);
  requestHeaders.set('x-nonce', nonce);

  const response = NextResponse.next({ request: { headers: requestHeaders } });
  response.headers.set('Content-Security-Policy', csp);
  response.headers.set('X-Content-Type-Options', 'nosniff');
  response.headers.set('Strict-Transport-Security', 'max-age=31536000; includeSubDomains');
  return response;
}

export const config = {
  matcher: ['/((?!_next/static|_next/image|favicon.ico).*)'],
};

-- supabase/migrations/XXXX_rls.sql
alter table public.profiles enable row level security;
alter table public.profiles force row level security;

create policy "profiles: read own"
  on public.profiles for select
  using (auth.uid() = id);

create policy "profiles: update own"
  on public.profiles for update
  using (auth.uid() = id)
  with check (auth.uid() = id);

// src/app/api/items/route.ts
import { NextResponse, type NextRequest } from 'next/server';
import { createClient } from '@/lib/supabase/server';

export async function POST(request: NextRequest) {
  const supabase = await createClient();
  const { data: { user } } = await supabase.auth.getUser();
  if (!user) return NextResponse.json({ error: 'unauthorized' }, { status: 401 });

  const body = await request.json();
  const { data, error } = await supabase
    .from('items')
    .insert({ ...body, user_id: user.id })  // server-supplied, not from body
    .select()
    .single();

  if (error) return NextResponse.json({ error: error.message }, { status: 400 });
  return NextResponse.json(data);
}

// src/app/api/posthog/[...path]/route.ts
import { type NextRequest } from 'next/server';

const UPSTREAM = 'https://us.i.posthog.com';

export async function POST(req: NextRequest, { params }: { params: Promise<{ path: string[] }> }) {
  const { path } = await params;
  const url = `${UPSTREAM}/${path.join('/')}`;
  return fetch(url, {
    method: 'POST',
    headers: { 'content-type': req.headers.get('content-type') ?? 'application/json' },
    body: await req.text(),
  });
}

function safeNext(raw: string | null): string {
  if (!raw) return '/dashboard';
  if (!raw.startsWith('/') || raw.startsWith('//')) return '/dashboard';
  return raw;
}

जारी: निगरानी और पुन: स्कैनिंग

बहाव प्रत्येक परिनियोजन पर होता है। सुरक्षा को एक लूप के रूप में मानें, न कि एक चेकलिस्ट के रूप में जिसे आप पूरा करते हैं।

# Or from CI, via the REST API:
curl -X POST https://fixvibe.app/api/v1/scans \
  -H "authorization: Bearer $FIXVIBE_TOKEN" \
  -H "content-type: application/json" \
  -d '{"target":"https://your-app.com"}'

वास्तविक विफलता पैटर्न और उनके समाधान

Five common patterns in AI-generated apps, each with the actual fix:

1. क्लाइंट घटक में सेवा-भूमिका कुंजी

   Symptom: FixVibe reports an exposed Supabase service-role key on the production URL. Cause: an autocomplete pasted createClient(URL, SERVICE_ROLE_KEY) into a React component. Fix: move the service client to src/lib/supabase/service.ts with import 'server-only' at the top; create a parallel src/lib/supabase/client.ts using the anon key for client-side use; rotate the service-role key via Supabase Studio.

2. फ़ायरस्टोर नियम परीक्षण मोड में छोड़ दिए गए हैं

   Symptom: a high-severity open Firebase rules finding. Cause: generated rules read allow read, write: if request.time < timestamp.date(2026, 6, 1); — a time-bounded "allow all". Fix: scope each rule to the authenticated user — match /users/{userId}/posts/{postId} { allow read, write: if request.auth.uid == userId; } — and re-deploy firebase deploy --only firestore:rules.

3. अनुमेय CORS उत्पादन में जीवित रहना

   Symptom: a high-severity CORS misconfiguration finding. Cause: generated Express middleware: app.use(cors({ origin: '*' })). Fix: allowlist your frontend origin: app.use(cors({ origin: ['https://your-app.com'], credentials: true })). For Next.js API routes, set Access-Control-Allow-Origin explicitly in the response.

4. RLS सक्षम लेकिन बाध्य नहीं

   Symptom: FixVibe reports that anonymous visitors can read a public table even though RLS looks enabled in the dashboard. Cause: RLS is on, but a policy such as USING (true) lets the anon role through, or the migration that tightened it never ran in production. Fix: replace the permissive policy with one scoped to auth.uid(), apply the migration, and re-scan.

5. अहस्ताक्षरित IDOR- चलने योग्य आईडी

   Symptom: an active scan on your verified domain reports that one user can read another user's records at /api/items/1, /api/items/2, ... Cause: the API handler trusts the path param and queries Postgres without an ownership predicate. Fix: add .eq('user_id', user.id) on every read query, or move to signed URLs / UUIDs scoped under /api/users/[uid]/items/[id].

वाइब-कोड सुरक्षा लूप

लक्ष्य पूर्ण सुरक्षा नहीं है; यह कम लटकने वाले फल AI टूल को लगातार गायब कर रहा है ताकि आप तेजी से शिपिंग कर सकें।

1. Generate fast - Cursor, Claude Code, Lovable, Bolt का उपयोग करें। बात तो यही है.
2. Audit immediately - ऊपर दिए गए grep सेट को चलाएं, RLS जांचें, CSP सत्यापित करें, प्रमाणीकरण सीमा की समीक्षा करें।
3. Harden at deploy - मिडलवेयर, पर्यावरण पृथक्करण, CSP नॉन्स, HSTS, सर्वर-केवल प्रमाणीकरण सत्यापन।
4. Monitor - FixVibe निष्क्रिय दैनिक, सत्यापित डोमेन पर सक्रिय साप्ताहिक, स्लैक पर वेबहुक, Unlimited पर खतरे का पता लगाना।
5. Fix fast — use FixVibe coding-agent prompts for code/config findings and operator steps for DNS, provider, secret-rotation, or manual-review findings. Re-deploy, re-scan, close the loop.

अगले चरण

DAST बनाम SAST पर वैचारिक पृष्ठभूमि के लिए और AI- जेनरेटेड ऐप्स को अपनी स्कैनिंग की आवश्यकता क्यों है, AI-generated code security scanning पढ़ें। त्वरित-संदर्भ प्री-शिप ऑडिट के लिए, vibe coding security checklist देखें।