value: req.body.total in einer PayPal-Bestellung lässt einen Käufer 0.01 für alles bezahlen, und eine Webhook-Route, die Bestellungen als bezahlt markiert, ohne verify-webhook-signature aufzurufen, lässt jeden ein gefälschtes PAYMENT.CAPTURE.COMPLETED senden. Dieser Skill findet diese und zehn weitere Fehler bei der PayPal-Integration, bevor Sie echte Zahlungen annehmen, und sagt Ihnen, wie Sie jeden davon beheben.

Ihr Agent führt einen Scanner über Ihren Servercode (JavaScript und TypeScript, Python, PHP, Ruby, Java, C#, Go), Seiten und Komponenten (HTML-Templates, JSX/TSX, Vue, Svelte), .env-Dateien, App-Konfiguration und Abhängigkeitsmanifeste aus, die PayPal, PayPal-Webhook-Ereignistypen oder IPN-Felder erwähnen. Er verfolgt Werte aus der Anfrage über Zuweisungen, Destrukturierung, einfache Wrapper und Parameter von Hilfsfunktionen, sodass ein Preis, der auf dem Server anhand einer vom Client gesendeten ID ermittelt wird, nicht gemeldet wird, die letzte Zuweisung vor einer Verwendung zählt und ein Spendenbetrag, der gegen Ihre Voreinstellungen oder Limits geprüft wird, durchgeht. Er bewertet jede Webhook-Route einzeln (Middleware, Guards und Verifizierungsaufrufe zählen), unterscheidet Browsercode von Servercode und betrachtet das gesamte Projekt, bevor er ein Browser-Capture als vertrauenswürdig einstuft. Er kennt die Modelle des PayPal Server SDK, den REST-Body von Orders v2, die actions-Helfer des JavaScript SDK und checkout.js. Er führt Ihren Code nie aus und ruft PayPal nie auf. Er gibt BLOCK, REVIEW oder NOT FLAGGED zurück, mit Datei, Zeile, Grund und einem sichereren Ansatz. Secrets werden nie ausgegeben.

Was geprüft wird

BLOCK (vor der Auslieferung beheben)

• P01: das Client-Secret in einer öffentlichen Umgebungsvariable (NEXT_PUBLIC_, VITE_, REACT_APP_ und ähnliche), einem Next.js-env-Block, einem Bundler-define, der öffentlichen Runtime-Konfiguration von Nuxt oder im Browsercode, oder eine OAuth-Token-Anfrage aus dem Browser
• P02: PayPal-Client-Secrets, NVP/SOAP-API-Passwörter oder -Signaturen, Zugriffstokens, Basic-Zugangsdaten oder Braintree-Produktionstokens, die im Code oder in eingecheckter Konfiguration stehen, einschließlich literaler Fallbacks und .env.example
• P03: Bestellbetrag, Währung oder Purchase Units, die ohne Allow-List- oder Limitprüfung aus der Anfrage übernommen, aus vom Client gesendeten Preisen summiert werden, oder der gesamte Request-Body, der an PayPal weitergegeben wird
• P04: actions.order.capture() im Browser, dessen Ergebnis an Ihren Server oder eine Erfolgsseite gesendet wird, ohne Servercode, der die Bestellung bei PayPal abfragt oder einen Webhook verifiziert
• P05: Webhook-Routen ohne Signaturprüfung (Express, Next.js, NestJS, Flask, Django, Laravel, Rails, Go) und IPN-Listener ohne cmd=_notify-validate-Postback

REVIEW (vor dem Release prüfen)

• P11: Sandbox-Hosts oder Sandbox-Modus in der Produktionskonfiguration oder Live-Modus, der auf einen Sandbox-Host zeigt
• P12: veraltete oder aufgegebene PayPal-SDKs (paypal-rest-sdk, @paypal/checkout-server-sdk, paypalrestsdk, die alten SDKs für PHP, Ruby, .NET und Java, checkout.js)
• P13: Server-Captures, die Bestellungen als bezahlt markieren oder ausliefern, ohne COMPLETED zu prüfen
• P14: im Browser mit actions.order.create() erstellte Bestellungen
• P15: IPN-Listener, die die Prüfungen von payment_status, receiver und mc_gross auslassen
• P16: deaktivierte TLS-Zertifikatsprüfung in Code, der mit PayPal kommuniziert
• P17: Logging des PayPal Server SDK mit unmaskierten sensiblen Headern, wodurch das Zugriffstoken in die Logs geschrieben wird

Was enthalten ist

• Der Scanner (Python 3.9+, nur Standardbibliothek)
• Ein Regelleitfaden mit Grund, sichererem Ansatz und Link zur offiziellen PayPal-Dokumentation für jede Regel
• Ein riskantes und ein sicheres Beispielprojekt sowie der echte Bericht, den der Scanner für das riskante erzeugt

Grenzen

Er liest jede Datei so, wie sie geschrieben ist. Werte, die über andere Module, Datenbanken oder Framework-Interna weitergereicht werden, werden nicht verfolgt, Anfragewerte in Java, C# und Go werden nur über @RequestBody- und [FromBody]-Parameter verfolgt, und Dashboard-Einstellungen (Webhook-Abonnements, Live-Zugangsdaten, Empfangseinstellungen) sind nicht sichtbar. P04 sieht nur die Dateien, die Sie scannen, scannen Sie also das gesamte Projekt. Vaulting, Auszahlungen und Abonnementlogik werden über die oben genannten Regeln hinaus nicht geprüft. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 22 Dateien: SKILL.md, der Scanner in scripts/ (7 Python-Dateien), references/rules.md (jede Regel mit Grund und sichererem Ansatz) und examples/ (12 Beispieldateien plus report.md, die echte Scanner-Ausgabe für das riskante Beispiel).

Verwendung: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie dann Ihren Agenten, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne dass etwas installiert werden muss. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, und nichts wird irgendwohin gesendet.