Два запроса вошли в сервер одновременно — и вот уже бизнес-логика молится, чтобы не было дубля списания.

Два запроса вошли в сервер одновременно — и вот уже бизнес-логика молится, чтобы не было дубля списания.
Race condition — это когда у тебя есть проверка, но нет синхронизации. А значит, проверка просто декорация.

Три любимых сценария боли:
— двойная трата / двойной клик,
— обход лимитов,
— доступ к чужим данным через гонку запросов.

Как это находят: параллельные запросы, тайминги, повторяемость, тесты под нагрузкой. Если баг появляется только “иногда” — поздравляю, это не магия, это прод. ⚠️

Вывод простой: если у вас критичные действия без lock’ов, идемпотентности и нормальной валидации — уязвимость уже не “может быть”, а “ждёт своего момента”.