Обработчик вебхука, доверяющий req.body, позволяет любому отправить поддельное событие «платёж прошёл», а сумма из запроса позволяет покупателю заплатить всего 1 цент за любой товар. Этот навык находит эти и ещё семь ошибок интеграции Stripe перед запуском и объясняет, как исправить каждую из них.

Ваш агент запускает сканер для кода (Node.js, Next.js, Python, PHP, Ruby, файлы интерфейса), файлов конфигурации и файлов .env. Комментарии пропускаются, поэтому закомментированная проверка подписи считается отсутствующей. Сканер отличает браузерный код от серверного и отслеживает значения из запроса через переменные (const { amount } = req.body). Запросы к Stripe не выполняются. Результат получает статус BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного решения. Ключи никогда не выводятся.

Что проверяется

BLOCK (исправить перед выпуском)

• S01: рабочий секретный ключ, рабочий ключ с ограниченными правами или секрет подписи вебхука в коде либо конфигурации

• S02: секретный ключ в браузерном коде (loadStripe с sk_, клиентские компоненты, переменные NEXT_PUBLIC_ или VITE_)

• S03: обработчик вебхука без проверки подписи через constructEvent

• S04: amount, unit_amount или line_items, полученные из запроса

REVIEW (проверить перед выпуском)

• S11: тестовый секретный ключ, прописанный в коде

• S12: разбор или повторное кодирование тела запроса до проверки подписи

• S13: создание PaymentIntents, списаний, возвратов или выплат без ключа идемпотентности

• S14: номера карт или CVC-коды в собственной форме либо на собственном сервере

• S15: обработка checkout.session.completed без проверки payment_status

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с объяснением причин и более безопасным решением для каждого правила

• Примеры небезопасного и безопасного проекта (сервер, вебхук и форма оплаты на React), а также реальный отчёт сканера по небезопасному примеру

Ограничения

Сканер читает код как текст: значения отслеживаются в пределах одного файла, поэтому проверки в другом модуле не учитываются. Настройки панели управления, переменные окружения хостинга и правила Radar не проверяются. Статус NOT FLAGGED не даёт гарантий.

Содержимое

Один ZIP-архив с 14 файлами: SKILL.md, сканер в scripts/ (4 файла Python), references/rules.md (все правила с объяснениями и более безопасными решениями) и examples/ (8 файлов примеров, а также report.md с реальными результатами сканирования небезопасного примера).

Как использовать: Это навык для ИИ-агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков своего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить проект. Скрипты также можно запускать отдельно с Python 3.9 или новее, без установки дополнительных компонентов. Они только читают ваши файлы: не обращаются к сети и никуда ничего не отправляют.