Ein Paymob-Callback, der ohne Prüfung seines HMAC akzeptiert wird, ermöglicht es jedem, eine Bestellung als bezahlt zu markieren. Ein Secret Key in einer NEXT_PUBLIC_-Variable landet im Browser jedes Besuchers. Dieser Skill findet solche Fehler in Ihrem Code und zeigt Ihnen, wie Sie jeden davon beheben.

Er scannt JavaScript-, TypeScript-, Python-, PHP- und Dart-Dateien sowie .env-Dateien und liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einem sichereren Ansatz. Er prüft 10 Regeln: Live- und Test-Secret-Keys im Code, Secrets in öffentlichen Umgebungsvariablen oder Client-Code, Callbacks ohne HMAC-Prüfung, falscher HMAC-Algorithmus oder falsche HMAC-Felder, Paymobs Schreibweise error_occured, Vergleiche ohne konstante Laufzeit und Beträge, die keine ganzen Cents sind.

Außerdem enthält er ein Hilfsskript, das Paymobs HMAC-SHA512 aus einem empfangenen Callback neu berechnet und Ihnen sagt, ob er übereinstimmt, sowie eine Anleitung mit getestetem HMAC-Code für Node und Python.

Es handelt sich um eine statische Prüfung des Quelltexts: NOT FLAGGED ist keine Garantie.

So verwenden Sie es: Dies ist ein Agent-Skill: ein Ordner mit einer Datei SKILL.md und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie dann Ihren Agenten, Ihren Code zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne dass etwas installiert werden muss. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, und es wird nichts irgendwohin gesendet.