ZainCash передает результат платежа в виде подписанного токена. Код, который читает этот токен без проверки подписи, позволяет кому угодно подделать статус «SUCCESS» и добиться того, чтобы заказ был отмечен как оплаченный. Этот навык находит эту ошибку и еще одиннадцать других в вашей интеграции ZainCash Payment Gateway v2 и подсказывает, как исправить каждую из них.

Он сканирует файлы JavaScript, TypeScript, Python, PHP и Dart, а также файлы .env и выдает результат BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Он проверяет: секреты в коде, в публичных переменных окружения, а также в коде Flutter или браузерном коде; токены, читаемые без проверки подписи; валюту, отличную от IQD; jwt.verify без параметра algorithms; фиксированные значения externalReferenceId; возвраты, статус FAILED которых никогда не проверяется; дробные суммы в динарах; платежные URL, собранные вручную; вебхуки, игнорирующие eventId; и URL тестовой среды, оставленный в коде.

Также в комплект входит вспомогательный скрипт, который проверяет токен редиректа или вебхука ZainCash с помощью вашего API-ключа (HS256) и показывает содержащиеся в нем статус, заказ, транзакцию и сумму.

Это статическая проверка исходного текста: результат NOT FLAGGED не является гарантией. Файлы Java и C# не сканируются.

Как использовать: Это навык для ИИ-агента: папка с файлом SKILL.md и скриптами на Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить ваш код. Скрипты также можно запускать самостоятельно в Python 3.9 или новее, ничего не устанавливая. Они только читают ваши файлы: без доступа к сети, никакие данные никуда не отправляются.