Fiantraikan'ny mpanafika
Ny mpanafika dia afaka mahazo fidirana tsy nahazoana alalana amin'ny angon-drakitra mpampiasa saro-pady, manova ny firaketana angon-drakitra, na maka fotodrafitrasa amin'ny alàlan'ny fanararaotana ny fanaraha-maso mahazatra amin'ny fametrahana MVP. Tafiditra ao anatin'izany ny fidirana amin'ny angon-drakitra momba ny mpanofa noho ny tsy fisian'ny fanaraha-maso ny fidirana [S4] na ny fampiasana fanalahidin'ny API tafaporitsaka mba handoavana ny sarany sy hanesorana angona avy amin'ny serivisy mitambatra [S2].
Antony fototra
Ao anatin'ny fahamaikana amin'ny famoahana MVP, ireo mpamorona—indrindra ireo mampiasa ny "vibe coding" ampian'ny AI—dia matetika tsy mijery ireo tefy fiarovana fototra. Ny antony voalohany mahatonga ireo vulnerability ireo dia:
- Secret leakage: Ny fahazoan-dàlana, toy ny tadin'ny angon-drakitra na ny fanalahidin'ny mpamatsy AI, dia natao tsy nahy tamin'ny fanaraha-maso ny dikan-[S2].
- Fanaraha-maso ny fidirana tapaka: Ny fampiharana dia tsy mahavita mampihatra ny fetran'ny fanomezan-dàlana henjana, ahafahan'ny mpampiasa miditra amin'ny loharanon'ny hafa [S4].
- Politika Mahazo alalana amin'ny angon-drakitra: Ao amin'ny BaaS (Backend-as-a-Service) maoderina toy ny Supabase, dia tsy mamela sy manitsy tsara ny Row Level Security (ZXCVFIXVIBETOKEN2ZX amin'ny alalan'ny CV) izay mamela ny mpanjifa misokatra ho an'ny mpanjifa. [S5].
- Fitondrana Token Marefo: Ny fitantanana tsy ara-dalàna ny mari-pamantarana fanamarinana dia mety hitarika amin'ny fakàna an-keriny fivoriana na fidirana API tsy nahazoan-dalana [S3].
Fanamboarana simenitra
Ampiharo ny fiarovana amin'ny laharana (RLS)
Ho an'ny fampiharana mampiasa backend mifototra amin'ny Postgres toa ny Supabase, RLS dia tsy maintsy alefa isaky ny latabatra. RLS dia miantoka fa ny motera angon-drakitra mihitsy no mampihatra ny famerana ny fidirana, manakana ny mpampiasa iray tsy hangataka ny angon'ny mpampiasa hafa na dia manana mari-pamantarana fanamarinana manan-kery aza izy ireo [S5].
Ataovy ho azy ny famandrihana tsiambaratelo
Ampidiro ao amin'ny rindranasa fampandrosoana ny fisavana miafina mba hamantarana sy hanakanana ny fanosehana ny fahazoan-dàlana saro-pady toy ny fanalahidy API na fanamarinana [S2]. Raha misy tsiambaratelo tafaporitsaka dia tsy maintsy esorina sy mihodina avy hatrany, satria tokony hoheverina ho marimaritra iraisana [S2].
Ampiharo ny fomba fanaon'ny Token Henjana
Araho ny fenitry ny indostria ho an'ny fiarovana famantarana, ao anatin'izany ny fampiasana cookies azo antoka, HTTP-tokana ho an'ny fitantanana fivoriana ary ny fiantohana fa ny token dia voafehin'ny mpandefa raha azo atao mba hisorohana ny fampiasana indray ny mpanafika [S3].
Ampiharo ny lohatenin'ny fiarovana amin'ny Internet ankapobeny
Ataovy azo antoka fa ny fampiharana dia mampihatra fepetra fiarovana amin'ny tranonkala mahazatra, toy ny Politika fiarovana amin'ny atiny (CSP) sy ny protocols fitaterana azo antoka, mba hanalefahana ny fanafihana mahazatra mifototra amin'ny navigateur [S1].
Ahoana no andrana FixVibe momba izany
FixVibe dia efa mirakitra an'ity kilasin'ny angon-drakitra ity amin'ny sehatra scan mivantana maro:
- Supabase RLS fampirantiana:
baas.supabase-rlsdia makabaas.supabase-rlsho an'ny besinimaro Supabase URL/non-key tsiroaroa avy amin'ny amboara mitovy niaviany, mitanisa ireo tabilao miharihary, ary tsy mihatra amin'ny tabilao tsy fantatra raha mibaribary ny angona latabatra. - Repo RLS hantsana:
repo.supabase.missing-rlstsikera nanome alalana GitHub fifindra-monina SQL ho an'ny latabatra ho an'ny daholobe izay noforonina tsy misyALTER TABLE ... ENABLE ROW LEVEL SECURITYfifindra-monina. - Supabase posture fitehirizana:
baas.supabase-security-checklist-backfillmandinika metadata siny fitahirizana ho an'ny besinimaro sy ny fidiran'ny lisitra tsy mitonona anarana nefa tsy mampiditra na manova ny angon'ny mpanjifa. - Zava-miafina sy toeran'ny navigateur:
secrets.js-bundle-sweep,headers.security-headers, aryheaders.cookie-attributessaina dia tafaporitsaka ny fahazoan-dàlana amin'ny lafiny mpanjifa, tsy hita ny lohapejy manamafy ny navigateur, ary sainam-pamoahana tsy misy dikany. - Fanadihadiana fanaraha-maso ny fidirana amin'ny vavahady: rehefa avelan'ny mpanjifa ny fitarafana mavitrika ary voamarina ny fananan'ny sehatra,
active.idor-walkingsyactive.tenant-isolationny andrana dia nahita lalana ho an'ny IDOR/BOLA-style cross-resource sy ny fampitana angon-drakitra ho an'ny mpanofa.