AI сгенерил код, но в прод его пускать нельзя без аудита

AI сгенерил код, но в прод его пускать нельзя без аудита

Проверка начинается не с UI, а с того, что код может сделать лишнее. Ищите:
— скрытые запросы наружу
— запись секретов в логи
— автосабмит форм без подтверждения
— вставки через innerHTML без экранирования
— лишние права на файлы и env

Дальше смотрите на зависимости. Если ИИ подтянул пакеты «на глаз», проверьте, действительно ли они нужны, нет ли дубликатов и не тянет ли один маленький импорт огромный хвост. В vibe coding это частая проблема: редактор любит собирать решение из всего подряд, а не из минимального набора.

Отдельно прогоняйте точки входа: формы, загрузку файлов, редиректы, webhooks, query-параметры. Там чаще всего всплывают инъекции, открытые редиректы и утечки данных. Для лендинга это особенно важно: один промах в форме лидов — и вместо заявки вы получаете слив данных или спам-автодействия.

Если код трогает API-ключи, токены, cookie или админские ручки — сразу делайте ручной проход по правам. Принцип простой: компонент должен иметь только тот доступ, который нужен для его задачи, и ничего больше.

Финал простой: любой AI-код перед деплоем проходит один и тот же мини-аудит — входы, права, зависимости, утечки, автодействия. Если хотя бы один пункт не проверен, в прод он ещё не готов.