Задача. Приложения из Lovable, Bolt и похожих сервисов запускаются за несколько запросов и выглядят готовыми. Но никто не проверял, что можно открыть по публичной ссылке: видны ли данные клиентов без входа, может ли кто угодно зарегистрироваться владельцем, открыты ли файлы.
Что сделано. Сначала проверка снаружи, только на просмотр: что видит любой посетитель без входа, открыта ли регистрация и хранилище файлов, нет ли секретного ключа в коде страницы. Значения я не вывожу, только считаю. Потом все главные шаги на экране телефона: запись, перенос, поздняя отмена, очередь на освободившееся время, напоминания, кабинет владельца.
Что нашлось. Одна опасная проблема: любой человек мог создать аккаунт владельца и увидеть всех клиентов. И ещё пять мест, где терялись записи или клиенту говорили неправду: свободное время уходило тому, чей визит туда не помещается, один человек получал несколько напоминаний, кнопку записи приходилось нажимать дважды, ссылки в сообщениях не открывались, а экраны писали «отправлено» раньше времени. И одна незначительная ошибка в кабинете владельца.
Результат. Все 7 проблем исправлены и перепроверены в тот же день. Без входа данные клиентов не видны, секретных ключей в коде страницы нет, открытых файлов нет.
Что не входит. Проверка за день не включает построчное чтение кода и настроек доступа к данным: это полный разбор, у него свой образец.