تسجيل الدخول شغّال ما يعني إن بيانات عملائك محمية. الدخول يقول مين أنت، والحماية الحقيقية إن السيرفر يتأكد في كل طلب إنك تشوف بياناتك أنت بس. هذي خمس ثغرات نلقاها كثير في المنتجات اللي انبنت بالذكاء الاصطناعي.
1. غيّر الرقم في الرابط
إذا صفحة الطلب رابطها مثل /orders/125، سجّل دخول بحساب ثاني وجرّب /orders/124. إذا شفت طلب غيرك، هذي أخطر ثغرة ممكن تكون عندك. تغيير الأرقام لأرقام عشوائية طويلة ما يحلها، يصعّب التخمين بس. الحل إن السيرفر يتأكد إن الطلب يخص اللي طالبه.
2. صفحة الإدارة مخفية بس
إخفاء زر «لوحة الإدارة» من القائمة ما يحميها. افتح رابطها مباشرة بحساب عادي وشوف وش يصير. الحماية لازم تكون في السيرفر: كل طلب لصفحة الإدارة أو بياناتها يتأكد إن صاحبه مدير.
3. قواعد قاعدة البيانات مقفلة؟
إذا تستخدم Supabase: افتح Table Editor، وأي جدول مكتوب جنبه RLS disabled مكشوف لأي أحد. إذا تستخدم Firebase: افتح Rules، وأي قاعدة فيها if true، أو قواعد وضع التجربة اللي لها تاريخ انتهاء، تعني إن قاعدة بياناتك مفتوحة. القواعد لازم تكون على كل جدول، مو بس جدول المستخدمين. تفاصيل أكثر في مشاكل Lovable و Supabase.
4. المفتاح السري في الواجهة
«عرض المصدر» ما يكفي، لأن المفاتيح تكون داخل ملفات JavaScript مو داخل الصفحة. افتح موقعك، واضغط F12، وفي تبويب Sources ابحث في كل الملفات (Ctrl+Shift+F) عن sk_ و sk- و secret و service_role. أي مفتاح سري يظهر هنا يقدر أي أحد ياخذه ويستخدمه. إذا لقيت واحد، شوف درس مفتاحك انكشف؟.
5. الجلسة ما تنتهي
سجّل خروج، وبعدها افتح رابط صفحة داخلية مباشرة، أو ارجع لها واضغط تحديث. إذا شفت بياناتك، الخروج ما ينهي الجلسة في السيرفر. انتبه: زر الرجوع لحاله ممكن يوريك نسخة محفوظة في المتصفح حتى لو الخروج شغّال، فلازم تحدّث الصفحة.
تبي فحص كامل؟
تدقيق جاهزية الإطلاق يمر على هذي ضمن 9 جوانب، ويعطيك تقرير مكتوب بالأولويات.