Race Condition — это не «какой-то баг на нагрузке». Это момент, когда сервер сам себе мешает, потому что два з

Race Condition — это не «какой-то баг на нагрузке». Это момент, когда сервер сам себе мешает, потому что два запроса лезут в одни и те же данные без нормальной синхронизации.

Что получается на практике:
— двойное списание денег;
— обход лимитов;
— повторное выполнение операций;
— иногда — доступ туда, где его быть не должно.

Почему это особенно мерзко? Потому что всё выглядит легально: каждый запрос по отдельности может проходить проверки. А вот вместе они создают окно гонки. И это окно часто измеряется миллисекундами ⏱️

Обычно уязвимость ищут в трёх местах:
1) операции с балансом и оплатой;
2) выдача одноразовых прав, токенов, купонов, инвайтов;
3) сценарии, где есть «проверил → потом изменил».

Ключевая мысль: проблема не в скорости сервера, а в отсутствии атомарности. Если чтение и запись разорваны, злоумышленник может попасть между ними.

И да, это не редкий экзотический кейс. Чем больше сервисов, очередей, микросервисов и асинхронщины — тем больше шансов словить такую дыру.