Колбэк Paymob, принятый без проверки HMAC, позволяет кому угодно отметить заказ как оплаченный. Секретный ключ в переменной NEXT_PUBLIC_ попадает в браузер каждого посетителя. Этот навык находит такие ошибки в вашем коде и подсказывает, как исправить каждую из них.

Он сканирует файлы JavaScript, TypeScript, Python, PHP и Dart, а также файлы .env и выдает результат BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Он проверяет 10 правил: боевые и тестовые секретные ключи в коде, секреты в публичных переменных окружения или клиентском коде, колбэки без проверки HMAC, неверный алгоритм или поля HMAC, написание error_occured, используемое Paymob, сравнения, выполняемые не за постоянное время, и суммы, не выраженные целым числом центов.

Также в комплект входит вспомогательный скрипт, который пересчитывает HMAC-SHA512 Paymob по полученному вами колбэку и сообщает, совпадает ли он, а также руководство с проверенным кодом HMAC для Node и Python.

Это статическая проверка исходного текста: результат NOT FLAGGED не является гарантией.

Как использовать: Это навык для ИИ-агента: папка с файлом SKILL.md и скриптами на Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить ваш код. Скрипты также можно запускать самостоятельно в Python 3.9 или новее, ничего не устанавливая. Они только читают ваши файлы: без доступа к сети, никакие данные никуда не отправляются.