Защита оплатыПодробнее
- Доработки в рамках пакета бесплатны.
- Если вы не ответите в течение 3 дней после сдачи, работа будет принята автоматически.
При оплате деньги резервируются и переходят сервису, только когда вы примете работу.
Пример результата
Разбор кода: скрипт на Python для загрузки заказов интернет-магазина
Что делает код
- Читает
orders.csvиз выгрузки магазина. - Для каждой строки заказа ищет товар по артикулу в
stock.xlsxи вычитает количество. - Сохраняет остатки и пишет итоги в
import_log.txt.
Логика понятная, функции названы удачно. Почти все проблемы связаны с данными, которые выглядят не так, как ожидает скрипт.
Ошибки и слабые места
| № | Строка | Важность | Проблема |
|---|---|---|---|
| 1 | 48 | Высокая | Один и тот же файл можно загрузить дважды: номера обработанных заказов нигде не хранятся. Скорее всего, отсюда минусовые остатки. |
| 2 | 72 | Высокая | int(row["qty"]) падает на пустых значениях и на «2.0» у заказов с возвратом. |
| 3 | 95 | Средняя | Поиск по артикулу чувствителен к регистру: «pu-101» и «PU-101» считаются разными товарами. |
| 4 | 130 | Средняя | Файл открывается без encoding="utf-8", в Windows кириллица в названиях превращается в «кракозябры». |
| 5 | 201 | Низкая | Голый except: прячет настоящие ошибки, лог ничего не объясняет. |
Исправленные фрагменты
Проблема 1: не списывать заказ повторно
processed = load_processed_ids("processed_orders.txt")
for row in reader:
if row["order_id"] in processed:
continue
# ... прежняя логика ...
processed.add(row["order_id"])
save_processed_ids("processed_orders.txt", processed)
Зачем: каждый заказ списывается один раз, даже если запустить скрипт на том же файле.
Проблема 2: безопасно читать количество
raw = (row.get("qty") or "").strip()
try:
qty = int(float(raw))
except ValueError:
log.warning("Заказ %s: некорректное количество %r, пропущен", row["order_id"], raw)
continue
Зачем: строка с ошибкой пропускается с записью в лог, а не останавливает весь импорт.
Проблема 3: привести артикулы к одному виду
sku = row["sku"].strip().upper()
То же .strip().upper() нужно применить при сборке словаря остатков.
Стиль и читаемость
- Функция
process()занимает 90 строк: разделите наread_orders,apply_to_stock,write_report. - Вместо номеров колонок (
row[7]) обращайтесь по названиям заголовков.
Проверьте каждое исправление на копии файлов: код мы читали, но не запускали.
Заказчик: владелец небольшого интернет-магазина чая, сам написал скрипт на 310 строк: он берёт выгрузку заказов в CSV и списывает остатки в таблице склада Жалоба: «Иногда остатки уходят в минус, а на некоторых файлах скрипт падает».
Клиент и все данные вымышлены.
Об услуге
Многие дыры в безопасности видны прямо в коде: SQL или команды оболочки, собранные из пользовательского ввода, вывод без экранирования, пароли с быстрым хешем, проверки, которые выясняют, кто пользователь, но не что ему можно, и ключи, вписанные прямо в исходник. Мы читаем ваш код по списку OWASP Top 10, объясняем каждое слабое место и как им можно злоупотребить и расставляем их по степени риска. К каждой находке даём исправленный фрагмент с безопасным приёмом для вашего языка.
Что входит
- Что вы получитеПисьменный разбор на странице заказа: слабые места по степени риска с объяснением каждого и исправленные фрагменты с безопасными приёмами. В Premium ещё короткий чек-лист усиления защиты для остального проекта.
- ВнедрениеSQL, команды оболочки и шаблоны
- Экранирование выводаРиски межсайтового скриптинга
- Проверки доступаКто что может видеть и менять
- Пароли и секретыХеширование и ключи вне кода
- Находки по рискуСначала самое опасное
Порядок работы
- 1БрифВы вставляете чувствительные части кода
- 2ЧтениеПроверяем по OWASP Top 10
- 3РазборВы получаете находки по риску и правки
Что нужно от вас
Код, который работает с вводом, входом, файлами или платежами, текстом или скриншотами с секретами, заменёнными заглушками, язык и фреймворк и кто пользуется приложением.
В брифе мы спросим:
- Какой язык и фреймворк?
- Какие части работают с вводом, входом или платежами?
- Кто пользуется приложением?
- Разбор нужен из-за конкретного случая или предупреждения?
Сравнение пакетов
| Пакеты | ЭкономКод до 100 строк15 $ | СтандартКод до 400 строк35 $ | БизнесДо 1 000 строк с чек-листом защиты69 $ |
|---|---|---|---|
| Срок | 1 день | 2 дня | 3 дня |
| Доработки | 1 | 2 | 3 |
| Строк кода | до 100 | до 400 | до 1 000 |
| Исправленные фрагменты | Да | Да | Да |
| Чек-лист усиления защиты | Нет | Нет | Да |
| Заказать Эконом | Заказать Стандарт | Заказать Бизнес |
Защита оплаты
Вы оплачиваете заказ сразу, но деньги переходят сервису только за принятую работу.
- Фиксированная ценаЦена пакета не меняется после оплаты.
- Деньги резервируютсяПри оплате сумма только резервируется. Сервису она переходит, когда вы примете работу.
- Проверка перед сдачейКаждый результат проходит проверку качества, прежде чем попасть к вам, и вы видите его на странице заказа до приёмки.
- Бесплатные доработкиПросите изменения в рамках брифа столько раз, сколько предусмотрено пакетом.
- Приёмка через 3 дняЕсли в течение 3 дней после сдачи вы не примете работу и не попросите изменений, она будет принята автоматически. Если после сдачи вы напишете в чат заказа, заказ подождёт; ответив, мы можем начать отсчёт 3 дней заново и сообщим об этом в чате.
- Переделка или полный возвратЕсли результат не соответствует брифу и доработки не помогли или срок превышен больше чем вдвое, напишите в чат заказа: мы переделаем работу или полностью вернём деньги.
Вопросы и ответы
Это пентест или сертификат безопасности?
Нет. Мы читаем присланный код и не атакуем и не сканируем вашу работающую систему, поэтому это не заменяет формальный аудит там, где он обязателен.
Присылать пароли и ключи?
Никогда. Замените их заглушками, а если настоящий ключ уже был в коде, выпустите новый.
Вы запускаете мой код?
Нет. Мы внимательно читаем код и разбираем, как он себя ведёт, но не запускаем его, поэтому каждое исправление проверьте в своём проекте.