Как проверить безопасность приложения из Cursor перед релизом
Начните с изменения, которое сгенерировал Cursor: от кнопки проследите путь до серверного обработчика и запроса в базу. Затем проверьте этот путь двумя реальными тестовыми сессиями. Объяснение агента помогает найти код, но не показывает, что делает развёрнутая версия.
Что подготовить
Возьмите diff конкретного коммита и staging-сборку с демонстрационными данными. Не передавайте в чат токены, .env и клиентские записи. Если нужен MCP, подключение и согласие на запуск — отдельные действия.
Порядок проверки
Попросите агента найти границу доверия
Для операции «скачать счёт» запросите путь файла и функцию, где сервер берёт текущего пользователя. Сверьте ответ с diff: userId из тела запроса или скрытая кнопка не подтверждают права на сам счёт.
Повторите действие вне интерфейса
Откройте счёт как владелец, затем ту же ссылку из другой тестовой сессии. Отметьте код и наличие тестовой метки в файле. После правки повторите оба запроса на новой сборке; не принимайте заверение агента вместо результата.
Запрос к Cursor, который можно вставить без секретов
Проследи скачивание счёта от кнопки до запроса в базу. Назови файлы и функции.
Откуда сервер получает пользователя? Где сравнивает его права с владельцем счёта?
Предложи тест на двух вымышленных аккаунтах. Ничего не запускай и не меняй.Критерий результата и ограничения
В задаче на релиз должны остаться коммит, проверенный маршрут, наблюдение до изменения, результат ретеста и ссылка на тест. Это позволяет другому разработчику повторить работу.
Что остаётся непроверенным
Один маршрут ничего не говорит об остальных изменениях. Отдельно проверьте новые права, секреты в клиентской сборке и зависимости, которые затронул diff.