ZainCash sendet das Zahlungsergebnis als signiertes Token. Code, der dieses Token ohne Prüfung der Signatur liest, ermöglicht es jedem, ein „SUCCESS“ zu fälschen und eine Bestellung als bezahlt markieren zu lassen. Dieser Skill findet diesen Fehler und elf weitere in Ihrer Integration von ZainCash Payment Gateway v2 und zeigt Ihnen, wie Sie jeden davon beheben.

Er scannt JavaScript-, TypeScript-, Python-, PHP- und Dart-Dateien sowie .env-Dateien und liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einem sichereren Ansatz. Er prüft Secrets im Code, in öffentlichen Umgebungsvariablen sowie in Flutter- oder Browser-Code; Tokens, die ohne Signaturprüfung gelesen werden; eine andere Währung als IQD; jwt.verify ohne die Option algorithms; feste externalReferenceId-Werte; Rückerstattungen, deren Status FAILED nie geprüft wird; Dinar-Beträge mit Dezimalstellen; manuell zusammengesetzte Zahlungs-URLs; Webhooks, die eventId ignorieren; und die im Code verbliebene URL der Testumgebung.

Außerdem enthält er ein Hilfsskript, das ein ZainCash-Redirect- oder Webhook-Token mit Ihrem API-Schlüssel (HS256) verifiziert und den darin enthaltenen Status, die Bestellung, die Transaktion und den Betrag anzeigt.

Es handelt sich um eine statische Prüfung des Quelltexts: NOT FLAGGED ist keine Garantie. Java- und C#-Dateien werden nicht gescannt.

So verwenden Sie es: Dies ist ein Agent-Skill: ein Ordner mit einer Datei SKILL.md und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie dann Ihren Agenten, Ihren Code zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne dass etwas installiert werden muss. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, und es wird nichts irgendwohin gesendet.