value: req.body.total у замовленні PayPal дає змогу покупцеві заплатити 0.01 за будь-що, а маршрут вебхука, який позначає замовлення оплаченими без виклику verify-webhook-signature, дає змогу будь-кому надіслати підроблену подію PAYMENT.CAPTURE.COMPLETED. Ця навичка знаходить такі помилки та ще десять інших помилок інтеграції PayPal до того, як ви почнете приймати реальні платежі, і пояснює, як виправити кожну з них.

Ваш агент запускає сканер для серверного коду (JavaScript і TypeScript, Python, PHP, Ruby, Java, C#, Go), сторінок і компонентів (HTML-шаблони, JSX/TSX, Vue, Svelte), файлів .env, конфігурації застосунку та маніфестів залежностей, у яких згадуються PayPal, типи подій вебхуків PayPal або поля IPN. Він відстежує значення із запиту через присвоєння, деструктуризацію, прості обгортки та параметри допоміжних функцій, тому ціна, знайдена на сервері за ID, надісланим клієнтом, не потрапляє до звіту, враховується останнє присвоєння перед використанням, а сума пожертви, перевірена за вашими передустановками або лімітами, проходить перевірку. Він оцінює кожен маршрут вебхука окремо (враховуються middleware, guards і виклики перевірки), відрізняє браузерний код від серверного та переглядає весь проєкт, перш ніж визнати захоплення платежу в браузері довіреним. Він знає моделі PayPal Server SDK, тіло запиту REST Orders v2, допоміжні функції actions у JavaScript SDK і checkout.js. Він ніколи не запускає ваш код і ніколи не звертається до PayPal. Він повертає BLOCK, REVIEW або NOT FLAGGED із зазначенням файлу, рядка, причини та безпечнішого підходу. Секрети ніколи не виводяться.

Що перевіряється

BLOCK (виправити до випуску)

• P01: секрет клієнта в публічній змінній оточення (NEXT_PUBLIC_, VITE_, REACT_APP_ та подібних), у блоці env Next.js, у define збирача, у публічній runtime-конфігурації Nuxt або в браузерному коді, а також запит OAuth-токена з браузера
• P02: секрети клієнта PayPal, паролі або підписи NVP/SOAP API, токени доступу, облікові дані Basic або продакшен-токени Braintree, записані в коді чи закомічені в конфігурацію, зокрема літеральні значення за замовчуванням і .env.example
• P03: сума замовлення, валюта або purchase units, узяті із запиту без перевірки за білим списком чи лімітом, підсумовані з цін, надісланих клієнтом, або все тіло запиту, передане до PayPal
• P04: actions.order.capture() у браузері, результат якого надсилається на ваш сервер або на сторінку успішної оплати, за відсутності серверного коду, який запитує замовлення в PayPal або перевіряє вебхук
• P05: маршрути вебхуків без перевірки підпису (Express, Next.js, NestJS, Flask, Django, Laravel, Rails, Go) і обробники IPN без зворотного запиту cmd=_notify-validate

REVIEW (перевірити перед релізом)

• P11: хости пісочниці або режим пісочниці в продакшен-конфігурації чи бойовий режим, що вказує на хост пісочниці
• P12: застарілі або покинуті SDK PayPal (paypal-rest-sdk, @paypal/checkout-server-sdk, paypalrestsdk, старі SDK для PHP, Ruby, .NET і Java, checkout.js)
• P13: серверні захоплення платежів, які позначають замовлення оплаченими або виконують доставку без перевірки статусу COMPLETED
• P14: замовлення, що створюються в браузері через actions.order.create()
• P15: обробники IPN, які пропускають перевірки payment_status, receiver і mc_gross
• P16: вимкнена перевірка TLS-сертифікатів у коді, що звертається до PayPal
• P17: логування PayPal Server SDK з незамаскованими конфіденційними заголовками, через що токен доступу потрапляє до логів

Що входить до комплекту

• Сканер (Python 3.9+, лише стандартна бібліотека)
• Посібник із правил із причиною, безпечнішим підходом і посиланням на офіційну документацію PayPal для кожного правила
• Ризиковий і безпечний приклади проєктів, а також справжній звіт, який сканер видає для ризикового проєкту

Обмеження

Сканер читає кожен файл у тому вигляді, у якому його написано. Значення, що передаються через інші модулі, бази даних або внутрішні механізми фреймворків, не відстежуються, значення із запиту в Java, C# і Go відстежуються лише через параметри @RequestBody і [FromBody], а налаштування в панелі керування (підписки на вебхуки, бойові облікові дані, налаштування приймання платежів) не видно. P04 бачить лише файли, які ви скануєте, тому скануйте весь проєкт. Зберігання платіжних даних (vaulting), виплати та логіка підписок не перевіряються понад наведені вище правила. NOT FLAGGED не є гарантією.

Склад

Один ZIP-файл із 22 файлами: SKILL.md, сканер у scripts/ (7 файлів Python), references/rules.md (усі правила з причинами та безпечнішими підходами) і examples/ (12 файлів прикладів плюс report.md, справжній вивід сканера для ризикового прикладу).

Як використовувати: Це навичка для агента: тека з файлом SKILL.md і скриптами Python, які може запускати ШІ-агент для програмування, наприклад Claude Code, Cursor або Codex CLI. Розпакуйте її в теку навичок вашого агента (для Claude Code: ~/.claude/skills/), потім попросіть агента перевірити ваш проєкт. Скрипти також працюють самостійно з Python 3.9 або новішим, нічого встановлювати не потрібно. Вони лише читають ваші файли: жодного доступу до мережі, нічого нікуди не надсилається.