AI कोडिंग टूल्स से बनी ऐप को कैसे सुरक्षित करें

AI- जेनरेट किए गए ऐप्स अलग-अलग तरीके से विफल क्यों होते हैं

वाइब-कोडित ऐप्स सुरक्षित हो सकते हैं। उन्हें अतिरिक्त ऑडिट पास की आवश्यकता है क्योंकि विफलता मोड संरचनात्मक हैं, लापरवाह नहीं:

• Cursor inlines hardcoded keys. आप Cursor को "प्रमाणीकरण त्रुटि को ठीक करने" के लिए कहते हैं और यह एक Supabase उदाहरण चिपका देता है जो एक सेवा-भूमिका क्लाइंट मानता है। कुंजी पृष्ठ घटक के शीर्ष पर समाप्त होती है। एनोन क्लाइंट और सर्विस क्लाइंट दोनों सह-अस्तित्व में हैं; दोनों जहाज.
• Claude Code defaults to permissive CORS. जेनरेटेड एक्सप्रेस / फास्टिफाई हैंडलर cors({ origin: '*' }) के साथ शिप करते हैं क्योंकि यह कार्यशील पूर्वावलोकन प्राप्त करने का सबसे तेज़ तरीका है। मिडलवेयर को कभी दूसरा पास नहीं मिलता।
• Lovable and v0 skip the rules file. फायरस्टोर-समर्थित परियोजनाएं डेटा मॉडल उत्पन्न करती हैं लेकिन शायद ही कभी firestore.rules को स्पर्श करती हैं। परीक्षण-मोड नियम चुपचाप समाप्त हो जाते हैं और उपयोगकर्ता को बिना किसी चेतावनी के डेटाबेस को लॉक कर देते हैं।
• Bolt skips RLS migrations. Bolt एक Supabase स्कीमा और एक CRUD सतह उत्पन्न करता है जो एनॉन कुंजी का उपयोग करता है। ENABLE ROW LEVEL SECURITY कभी भी माइग्रेशन में प्रवेश नहीं करता। अनाम उपयोगकर्ता किसी भी पंक्ति को पढ़ या लिख ​​सकते हैं।
• Windsurf trusts unsigned IDs. जनरेट किया गया GET /api/items/[id] स्वामित्व को सत्यापित किए बिना पैरामीटर पढ़ता है और पोस्टग्रेज पर प्रश्न पूछता है। पैटर्न इतना सामान्य है कि सक्रिय active.idor-walking जांच इसे एक ही स्कैन में सामने लाती है।

तत्काल ऑडिट: जोखिम पैटर्न के लिए अपना कोडबेस तैयार करें

इससे पहले कि आप किसी चीज़ को सख्त करें, जो पहले से ही टूटा हुआ है उसे ढूंढें। इन ग्रेप्स में से प्रत्येक को एक मिनट से कम समय लगता है:

grep -RIn 'NEXT_PUBLIC_SUPABASE_SERVICE' src/
grep -RIn 'sk_live_\|pk_live_\|STRIPE_SECRET' src/
grep -RIn 'sk-ant-\|^sk-' src/  # Anthropic / OpenAI
grep -RIn 'AIza\|AKIA' src/        # Google / AWS
grep -RIn 'eyJh[A-Za-z0-9_-]\{20,\}' src/  # JWT-shaped strings

# Supabase migrations
grep -RIn 'CREATE TABLE public\.' supabase/migrations/
grep -RIn 'ENABLE ROW LEVEL SECURITY\|FORCE ROW LEVEL SECURITY' supabase/migrations/

# Firebase / Firestore
cat firestore.rules  # confirm no `if true;` matches

grep -RIn 'getSession()' src/   # should be getUser() server-side
grep -RIn 'localStorage\.\(set\|get\)Item.*token' src/
grep -RIn 'jwt.verify.*\(noVerify\|skipVerify\)' src/

# Confirm middleware location for src/ layouts
ls src/middleware.ts middleware.ts 2>&1

# Look for CSP and security headers
grep -RIn 'Content-Security-Policy\|Strict-Transport-Security' src/

तैनाती के समय सख्त होना

एक बार स्रोत साफ हो जाने पर, ऐप के उत्पादन तक पहुंचने के तरीके को लॉक कर दें।

// src/middleware.ts
import { NextResponse, type NextRequest } from 'next/server';

export function middleware(request: NextRequest) {
  const nonce = crypto.randomUUID().replace(/-/g, '');
  const csp = [
    `script-src 'nonce-${nonce}' 'strict-dynamic'`,
    `style-src 'self' 'unsafe-inline'`,
    `img-src 'self' data: https:`,
    `connect-src 'self' https://*.supabase.co`,
    `object-src 'none'`,
    `base-uri 'self'`,
    `frame-ancestors 'none'`,
  ].join('; ');

  const requestHeaders = new Headers(request.headers);
  requestHeaders.set('x-nonce', nonce);

  const response = NextResponse.next({ request: { headers: requestHeaders } });
  response.headers.set('Content-Security-Policy', csp);
  response.headers.set('X-Content-Type-Options', 'nosniff');
  response.headers.set('Strict-Transport-Security', 'max-age=31536000; includeSubDomains');
  return response;
}

export const config = {
  matcher: ['/((?!_next/static|_next/image|favicon.ico).*)'],
};

-- supabase/migrations/XXXX_rls.sql
alter table public.profiles enable row level security;
alter table public.profiles force row level security;

create policy "profiles: read own"
  on public.profiles for select
  using (auth.uid() = id);

create policy "profiles: update own"
  on public.profiles for update
  using (auth.uid() = id)
  with check (auth.uid() = id);

// src/app/api/items/route.ts
import { NextResponse, type NextRequest } from 'next/server';
import { createClient } from '@/lib/supabase/server';

export async function POST(request: NextRequest) {
  const supabase = await createClient();
  const { data: { user } } = await supabase.auth.getUser();
  if (!user) return NextResponse.json({ error: 'unauthorized' }, { status: 401 });

  const body = await request.json();
  const { data, error } = await supabase
    .from('items')
    .insert({ ...body, user_id: user.id })  // server-supplied, not from body
    .select()
    .single();

  if (error) return NextResponse.json({ error: error.message }, { status: 400 });
  return NextResponse.json(data);
}

// src/app/api/posthog/[...path]/route.ts
import { type NextRequest } from 'next/server';

const UPSTREAM = 'https://us.i.posthog.com';

export async function POST(req: NextRequest, { params }: { params: Promise<{ path: string[] }> }) {
  const { path } = await params;
  const url = `${UPSTREAM}/${path.join('/')}`;
  return fetch(url, {
    method: 'POST',
    headers: { 'content-type': req.headers.get('content-type') ?? 'application/json' },
    body: await req.text(),
  });
}

function safeNext(raw: string | null): string {
  if (!raw) return '/dashboard';
  if (!raw.startsWith('/') || raw.startsWith('//')) return '/dashboard';
  return raw;
}

जारी: निगरानी और पुन: स्कैनिंग

बहाव प्रत्येक परिनियोजन पर होता है। सुरक्षा को एक लूप के रूप में मानें, न कि एक चेकलिस्ट के रूप में जिसे आप पूरा करते हैं।

# Or from CI, via the REST API:
curl -X POST https://fixvibe.app/api/v1/scans \
  -H "authorization: Bearer $FIXVIBE_TOKEN" \
  -H "content-type: application/json" \
  -d '{"target":"https://your-app.com"}'

वास्तविक विफलता पैटर्न और उनके समाधान

हजारों AI- जेनरेट किए गए ऐप्स में उत्पादन स्कैन से पांच पैटर्न, प्रत्येक वास्तविक फिक्स के साथ:

1. क्लाइंट घटक में सेवा-भूमिका कुंजी

   Symptom: baas.supabase-service-key उत्पादन पर खोज URL। Cause: एक Cursor स्वत: पूर्ण createClient(URL, SERVICE_ROLE_KEY) को रिएक्ट घटक में चिपकाया गया। Fix: सेवा क्लाइंट को शीर्ष पर import 'server-only' के साथ src/lib/supabase/service.ts पर ले जाएं; क्लाइंट-साइड उपयोग के लिए एनोन कुंजी का उपयोग करके एक समानांतर src/lib/supabase/client.ts बनाएं; Supabase स्टूडियो के माध्यम से सेवा-भूमिका कुंजी घुमाएँ।

2. फ़ायरस्टोर नियम परीक्षण मोड में छोड़ दिए गए हैं

   Symptom: baas.firebase-rules उच्च-गंभीरता वाली खोज। Cause: उत्पन्न नियम पढ़ें allow read, write: if request.time < timestamp.date(2026, 6, 1); - एक समयबद्ध "सभी को अनुमति दें"। Fix: प्रत्येक नियम को प्रमाणित उपयोगकर्ता तक सीमित करें - match /users/{userId}/posts/{postId} { allow read, write: if request.auth.uid == userId; } - और firebase deploy --only firestore:rules को पुनः तैनात करें।

3. अनुमेय CORS उत्पादन में जीवित रहना

   Symptom: active.cors उच्च-गंभीरता। Cause: जनरेट किया गया एक्सप्रेस मिडलवेयर: app.use(cors({ origin: '*' }))। Fix: अपने फ्रंटएंड मूल की अनुमति सूची: app.use(cors({ origin: ['https://your-app.com'], credentials: true }))। Next.js API मार्गों के लिए, प्रतिक्रिया में स्पष्ट रूप से Access-Control-Allow-Origin सेट करें।

4. RLS सक्षम लेकिन बाध्य नहीं

   Symptom: सक्रिय baas.supabase-rls रिपोर्ट करता है कि डैशबोर्ड में RLS सक्षम होने के बावजूद कोई भी भूमिका सार्वजनिक तालिका में लिखी जा सकती है। Cause: ENABLE बिना FORCE के टेबल मालिक को छूट मिल जाती है - और माइग्रेशन मालिक के रूप में चलता है। Fix: माइग्रेशन में alter table public.items force row level security; जोड़ें। पुनः तैनाती.

5. अहस्ताक्षरित IDOR- चलने योग्य आईडी

   Symptom: active.idor-walking रिपोर्ट करता है कि कोई भी उपयोगकर्ता किरायेदारों के बीच /api/items/1, /api/items/2, ... पढ़ सकता है। Cause: API हैंडलर पथ पैरामीटर पर भरोसा करता है और स्वामित्व विधेय के बिना पोस्टग्रेज पर प्रश्न पूछता है। Fix: प्रत्येक पढ़ी गई क्वेरी पर .eq('user_id', user.id) जोड़ें, या /api/users/[uid]/items/[id] के अंतर्गत हस्ताक्षरित यूआरएल/यूयूआईडी पर जाएं।

वाइब-कोड सुरक्षा लूप

लक्ष्य पूर्ण सुरक्षा नहीं है; यह कम लटकने वाले फल AI टूल को लगातार गायब कर रहा है ताकि आप तेजी से शिपिंग कर सकें।

1. Generate fast - Cursor, Claude Code, Lovable, Bolt का उपयोग करें। बात तो यही है.
2. Audit immediately - ऊपर दिए गए grep सेट को चलाएं, RLS जांचें, CSP सत्यापित करें, प्रमाणीकरण सीमा की समीक्षा करें।
3. Harden at deploy - मिडलवेयर, पर्यावरण पृथक्करण, CSP नॉन्स, HSTS, सर्वर-केवल प्रमाणीकरण सत्यापन।
4. Monitor - FixVibe निष्क्रिय दैनिक, सत्यापित डोमेन पर सक्रिय साप्ताहिक, स्लैक पर वेबहुक, Unlimited पर खतरे का पता लगाना।
5. Fix fast — use FixVibe coding-agent prompts for code/config findings and operator steps for DNS, provider, secret-rotation, or manual-review findings. Re-deploy, re-scan, close the loop.

अगले चरण

DAST बनाम SAST पर वैचारिक पृष्ठभूमि के लिए और AI- जेनरेटेड ऐप्स को अपनी स्कैनिंग की आवश्यकता क्यों है, AI-generated code security scanning पढ़ें। त्वरित-संदर्भ प्री-शिप ऑडिट के लिए, vibe coding security checklist देखें।