AI napisało kod. My sprawdzamy, co przeoczyło.

Cudze zamówienia po zmianie ID w adresie

const order = await db.order.findUnique({
  where: { id: params.id },
})
↳ brak warunku userId: session.user.id

Co to znaczy

Każdy zalogowany użytkownik zobaczy dane innych klientów.

Naprawa

Dodaj warunek właściciela i test dostępu z innego konta.

Ta sama wycena liczona w trzech miejscach

// cart.ts      Math.round(total * 100) / 100
// page.tsx     total.toFixed(2)
// route.ts     Math.floor(total * 100) / 100

Co to znaczy

Kwota w koszyku może różnić się od tej na fakturze.

Naprawa

Jeden moduł wyceny dla wszystkich trzech miejsc.

Strona checkout robi wszystko naraz

import { db } from '@/lib/db'
import { stripe } from '@/lib/stripe'
import { sendMail } from '@/lib/mailer'
import { calcTotal } from '@/lib/cart'

Co to znaczy

Każda zmiana wyglądu strony ryzykuje błąd w płatnościach.

Naprawa

Wydziel logikę do warstwy usług; strona tylko ją wywołuje.

Webhook płatności bez żadnego testu

Co to znaczy

Zepsute potwierdzanie płatności przejdzie testy i trafi do klientów.

Naprawa

Testy dla poprawnego, powtórzonego i podrobionego zdarzenia.

Brak limitu prób logowania

const { email, password } = await req.json()
const user = await verifyPassword(email, password)
↳ brak limitu prób na IP i konto

Co to znaczy

Hasła można zgadywać bez żadnych ograniczeń.

Naprawa

Limit prób na IP i konto, blokada po serii błędów.