value: req.body.total в заказе PayPal позволяет покупателю заплатить 0.01 за что угодно, а маршрут вебхука, который помечает заказы оплаченными без вызова verify-webhook-signature, позволяет кому угодно отправить поддельное событие PAYMENT.CAPTURE.COMPLETED. Этот навык находит такие ошибки и ещё десять других ошибок интеграции PayPal до того, как вы начнёте принимать реальные платежи, и объясняет, как исправить каждую из них.

Ваш агент запускает сканер для серверного кода (JavaScript и TypeScript, Python, PHP, Ruby, Java, C#, Go), страниц и компонентов (HTML-шаблоны, JSX/TSX, Vue, Svelte), файлов .env, конфигурации приложения и манифестов зависимостей, в которых упоминаются PayPal, типы событий вебхуков PayPal или поля IPN. Он отслеживает значения из запроса через присваивания, деструктуризацию, простые обёртки и параметры вспомогательных функций, поэтому цена, найденная на сервере по ID, присланному клиентом, не попадает в отчёт, учитывается последнее присваивание перед использованием, а сумма пожертвования, проверенная по вашим предустановкам или лимитам, проходит проверку. Он оценивает каждый маршрут вебхука отдельно (учитываются middleware, guards и вызовы проверки), отличает браузерный код от серверного и просматривает весь проект, прежде чем признать захват платежа в браузере доверенным. Он знает модели PayPal Server SDK, тело запроса REST Orders v2, вспомогательные функции actions в JavaScript SDK и checkout.js. Он никогда не запускает ваш код и никогда не обращается к PayPal. Он возвращает BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Секреты никогда не выводятся.

Что проверяется

BLOCK (исправить до выпуска)

• P01: секрет клиента в публичной переменной окружения (NEXT_PUBLIC_, VITE_, REACT_APP_ и подобных), в блоке env Next.js, в define сборщика, в публичной runtime-конфигурации Nuxt или в браузерном коде, а также запрос OAuth-токена из браузера
• P02: секреты клиента PayPal, пароли или подписи NVP/SOAP API, токены доступа, учётные данные Basic или продакшен-токены Braintree, записанные в коде или закоммиченной конфигурации, включая литеральные значения по умолчанию и .env.example
• P03: сумма заказа, валюта или purchase units, взятые из запроса без проверки по белому списку или лимиту, суммированные из цен, присланных клиентом, или всё тело запроса, переданное в PayPal
• P04: actions.order.capture() в браузере, результат которого отправляется на ваш сервер или на страницу успешной оплаты, при отсутствии серверного кода, который запрашивает заказ у PayPal или проверяет вебхук
• P05: маршруты вебхуков без проверки подписи (Express, Next.js, NestJS, Flask, Django, Laravel, Rails, Go) и обработчики IPN без обратного запроса cmd=_notify-validate

REVIEW (проверить перед релизом)

• P11: хосты песочницы или режим песочницы в продакшен-конфигурации либо боевой режим, указывающий на хост песочницы
• P12: устаревшие или заброшенные SDK PayPal (paypal-rest-sdk, @paypal/checkout-server-sdk, paypalrestsdk, старые SDK для PHP, Ruby, .NET и Java, checkout.js)
• P13: серверные захваты платежей, которые помечают заказы оплаченными или выполняют доставку без проверки статуса COMPLETED
• P14: заказы, создаваемые в браузере через actions.order.create()
• P15: обработчики IPN, пропускающие проверки payment_status, receiver и mc_gross
• P16: отключённая проверка TLS-сертификатов в коде, который обращается к PayPal
• P17: логирование PayPal Server SDK с незамаскированными конфиденциальными заголовками, из-за чего токен доступа попадает в логи

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)
• Руководство по правилам с причиной, более безопасным подходом и ссылкой на официальную документацию PayPal для каждого правила
• Рискованный и безопасный примеры проектов, а также настоящий отчёт, который сканер выдаёт для рискованного проекта

Ограничения

Сканер читает каждый файл в том виде, в котором он написан. Значения, передаваемые через другие модули, базы данных или внутренние механизмы фреймворков, не отслеживаются, значения из запроса в Java, C# и Go отслеживаются только через параметры @RequestBody и [FromBody], а настройки в панели управления (подписки на вебхуки, боевые учётные данные, настройки приёма платежей) не видны. P04 видит только сканируемые файлы, поэтому сканируйте весь проект. Хранение платёжных данных (vaulting), выплаты и логика подписок не проверяются сверх перечисленных выше правил. NOT FLAGGED не является гарантией.

Состав

Один ZIP-файл с 22 файлами: SKILL.md, сканер в scripts/ (7 файлов Python), references/rules.md (все правила с причинами и более безопасными подходами) и examples/ (12 файлов примеров плюс report.md, настоящий вывод сканера для рискованного примера).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте его в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить ваш проект. Скрипты также работают самостоятельно с Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: никакого доступа к сети, ничего никуда не отправляется.