Ein Webhook-Handler, der req.body vertraut, lässt jeden ein gefälschtes Ereignis „Zahlung erfolgreich“ senden. Wird der Betrag aus der Anfrage übernommen, kann ein Käufer für jeden Artikel nur 1 Cent zahlen. Dieser Skill findet diese und sieben weitere Fehler in Stripe-Integrationen vor dem Produktivstart und erklärt, wie du sie behebst.

Dein Agent führt einen Scanner für deinen Code (Node.js, Next.js, Python, PHP, Ruby, Frontend-Dateien), Konfigurationsdateien und .env-Dateien aus. Kommentare werden übersprungen, eine auskommentierte Signaturprüfung gilt also als fehlend. Der Scanner unterscheidet Browsercode von Servercode und verfolgt Anfragewerte durch Variablen (const { amount } = req.body). Er ruft Stripe nie auf. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einer sichereren Lösung. Schlüssel werden niemals ausgegeben.

Was geprüft wird

BLOCK (vor der Veröffentlichung beheben)

• S01: geheimer Live-Schlüssel, eingeschränkter Live-Schlüssel oder Webhook-Signaturgeheimnis im Code oder in der Konfiguration

• S02: geheimer Schlüssel im Browsercode (loadStripe mit sk_, Client-Komponenten, NEXT_PUBLIC_- oder VITE_-Variablen)

• S03: Webhook-Handler ohne constructEvent-Prüfung der Signatur

• S04: amount, unit_amount oder line_items werden aus der Anfrage übernommen

REVIEW (vor der Veröffentlichung prüfen)

• S11: geheimer Testschlüssel fest im Code hinterlegt

• S12: vor der Signaturprüfung geparster oder neu codierter Anfrageinhalt

• S13: PaymentIntents, Abbuchungen, Rückerstattungen oder Auszahlungen ohne Idempotenzschlüssel erstellt

• S14: Kartennummern oder CVC-Codes im eigenen Formular oder auf dem eigenen Server

• S15: Verarbeitung von checkout.session.completed ohne Prüfung von payment_status

Das ist enthalten

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererer Lösung für jede Regel

• Ein unsicheres und ein sicheres Beispielprojekt (Server, Webhook und React-Checkout) sowie der tatsächliche Scannerbericht zum unsicheren Projekt

Grenzen

Der Scanner liest Code als Text: Werte werden innerhalb einer Datei verfolgt, Prüfungen in anderen Modulen werden daher nicht erkannt. Dashboard-Einstellungen, Umgebungsvariablen des Hostings und Radar-Regeln werden nicht geprüft. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 14 Dateien: SKILL.md, der Scanner in scripts/ (4 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererer Lösung) und examples/ (8 Beispieldateien sowie report.md mit der tatsächlichen Scannerausgabe zum unsicheren Beispiel).

So verwendest du den Skill: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacke ihn in den Skills-Ordner deines Agenten (bei Claude Code: ~/.claude/skills/). Bitte deinen Agenten anschließend, dein Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installation. Sie lesen lediglich deine Dateien: kein Netzwerkzugriff und keine Datenübertragung.