Застосунок від ШІ без рев'ю

Застосунок від ШІ без рев'ю

Його за вихідні написав помічник. Ніхто не переглянув.

Що таке Застосунок від ШІ без рев'ю?

Застосунок, який ШІ-помічник написав від початку до кінця, — це все одно ПЗ, яке випускає ваша компанія, і воно потребує такого самого рев'ю, як і будь-яке інше. Тут менеджерка з продукту за вихідні зробила панель повернень і виклала її за публічним посиланням на попередній перегляд — без входу й з робочим платіжним ключем у коді. Ви переглянете код, знімете посилання з публікації, повернете його за корпоративним входом, замінете ключ у правильному порядку й запишете правило для наступного інструмента, зробленого з ШІ.

Що ви дізнаєтесь у Застосунок від ШІ без рев'ю

Застосунок від ШІ без рев'ю — Кроки навчання

  1. Швидкий погляд до понеділка

    Лена, менеджерка з продукту в Mirefell, створила для вас у Jotvane, трекері команди, задачу про застосунок, який вона зробила за вихідні.

  2. Відкрийте репозиторій

    Проєкт Лени відкривається в застосунку Code: шість невеликих файлів — сервер, його маршрути, конфігурація, допоміжний модуль для бази даних, маніфест пакета й README. У смузі ліворуч від рядків кожен рядок позначено фіолетовим пунктиром. Його написав Claude, і жодна людина ще не переглядала.

  3. Ніхто цього не читав

    Смуга авторства рахує весь репозиторій, а не лише файл, який у вас перед очима.

  4. Перед застосунком немає входу

    Почніть із сервера: через нього проходить кожен запит. Прочитайте server.ts , а потім позначте рядки Claude як переглянуті у смузі ліворуч від рядків: фіолетова позначка стає суцільною, щойно їх прочитала людина.

  5. Робочий ключ у коді

    Маршрути схвалюють повернення через Cobwenpay, платіжного провайдера Mirefell, тож серверу потрібен ключ. З'ясуйте, звідки він береться: прочитайте config.ts і позначте його рядки як переглянуті.

  6. Публічна панель

    Тепер подивіться, що віддає цей код. Відкрийте в браузері, поруч із кодом, посилання на попередній перегляд із задачі Лени.

  7. Будь-хто за посиланням

    У нижній частині сторінки сказано, де її розміщено. Відкрийте проєкт на Thistlepush — хості для попередніх переглядів в один клік, на якому Лена розгорнула застосунок.

  8. Попередній перегляд, який ніхто не закрив

    Боб стежить за публічними журналами сертифікатів і шукає нові імена хостів для попередніх переглядів. Сертифікат для refunds-4f9c2a.thistlepush.app видали тієї самої миті, коли Лена розгорнула застосунок у п'ятницю, тож ім'я вже є в журналах. Боб відкриває сторінку, щоб побачити, що вона віддає.

  9. Візит ззовні

    Ви ще дописували нотатки для Лени, коли Томаш, керівник служби безпеки Mirefell, створив задачу.

  10. Чому застосунок вийшов таким

Охоплення стандартів безпеки

OWASP Top 10

  • A07:2025 Authentication Failures

CWE

  • CWE-306 Missing Authentication for Critical Function
  • CWE-798 Use of Hard-coded Credentials

MITRE ATT&CK

  • T1552.001 Unsecured Credentials: Credentials In Files

CIS Controls

  • CIS 16 Application Software Security
  • CIS 6 Access Control Management

NIST CSF

  • PR.AT-02 Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind
  • PR.PS Platform Security
  • PR.AA Identity Management, Authentication, and Access Control