Kako pregledati kod koji je napisala AI

Da biste pregledali kod koji je napisala AI, počnite od onoga što se promenilo — koje datoteke i zašto — pa sami testirajte ponašanje pre nego što pročitate ijednu liniju koda. Posle toga proverite mesta na kojima kod iz AI-ja najčešće greši: nedostajuće provere dozvola na serveru, tajne izložene pregledaču, neproverene ulazne podatke, pakete ili funkcije koji ne postoje i izmene stvari koje niste tražili da se diraju.

AI piše kod koji obično radi i često izgleda uredno. Zbog toga je lako odobriti ga bez prave provere. Ovaj vodič je rutina pregleda koja radi bez obzira na to da li čitate kod tečno ili uopšte.

Prilagodite pregled riziku

Ne traži svaka izmena istu pažnju.

Korak 1: Pogledajte šta se promenilo

Pre nego što ocenite kod, pribavite spisak izmena:

• Ako je projekat u Git-u, pogledajte diff: datoteke i redove koji su se promenili od poslednjeg commit-a. Pogledajte kako koristiti Git sa aplikacijom napravljenom AI-jem.
• Ili direktno pitajte AI:

Navedi svaku datoteku koju si promenio u poslednjoj izmeni i za svaku objasni u jednoj rečenici šta se promenilo i zašto.

Crveni signali u ovom koraku: datoteke koje nisu povezane sa zahtevom, obrisane datoteke, izmene konfiguracije ili zavisnosti koje niste tražili.

Korak 2: Prvo testirajte ponašanje

Čitanje koda govori šta on treba da radi; testiranje govori šta zaista radi. Pre čitanja:

• Isprobajte izmenu kao običan korisnik, na računaru i na ekranu veličine telefona.
• Isprobajte je sa pogrešnim ulazom: prazna polja, veoma dug tekst, negativni brojevi, datum u prošlosti.
• Isprobajte je odjavljeni i kao drugi korisnik.
• Ponovo pokrenite tokove koji su najvažniji: registracija, prijava, glavna radnja, plaćanje.

Ako testiranje ne uspe, uštedeli ste vreme čitanja — jasno to prijavite i pustite AI da popravi. Pogledajte kako napisati dobar izveštaj o grešci.

Korak 3: Proverite dozvole na serveru

Najvažnija stvar za proveru. AI alati često sakriju dugme na stranici, ali ostave serveru da izvrši radnju za svakoga ko je traži.

Za svaku rutu ili funkciju koja čita ili menja podatke, pitajte:

• Da li proverava da je korisnik prijavljen?
• Da li proverava da je ovaj korisnik dozvoljen da pristupi ovom zapisu?
• Da li je ta provera na serveru, a ne samo na stranici?

Za svaku API rutu koju si dodao ili promenio, reci mi koju proveru dozvole radi na serveru, uz citat reda. Označi svaku rutu bez nje.

Zatim je testirajte: prijavite se kao korisnik A, zabeležite ID zapisa, prijavite se kao korisnik B i zatražite ga. Bezbednosna kontrolna lista za aplikacije napravljene AI-jem sadrži kompletan test.

Korak 4: Tražite izložene tajne

• Pretražite izmenjene datoteke za sve što liči na ključ ili lozinku.
• Proverite da se tajni ključevi čitaju iz promenljivih okruženja i da se koriste samo u serverskom kodu.
• Pazite na javne prefikse kao što su VITE_ ili NEXT_PUBLIC_ na tajnim promenljivima — oni se ugrađuju u kod za pregledač.

Pogledajte kako čuvati API ključeve bezbednim.

Korak 5: Proverite ulaz i greške

• Provera na serveru. Provere u pregledaču mogu da se zaobiđu. Obavezna polja, dužine, formati i dozvoljene vrednosti treba da proveri i server.
• Upiti ka bazi koriste parametre, a ne tekst sastavljen spajanjem korisničkog unosa u upit.
• Greške se ne guše. try/catch koji ništa ne radi sakriva kvarove. Greške treba zabeležiti, a korisnici treba da vide jednostavnu poruku.
• Interni detalji se ne prikazuju korisnicima — stek poruke i greške baze pripadaju logovima.

Korak 6: Proverite da je stvarno

AI modeli ponekad proizvode kod koji izgleda ispravno, ali se poziva na stvari koje ne postoje.

• Paketi: svaka nova zavisnost treba da bude stvaran, održavan paket sa tačno tim imenom. Budite oprezni sa imenima koja liče na greške u kucanju popularnih paketa.
• Funkcije i opcije API-ja: ako kod poziva funkciju biblioteke ili opciju spoljnog API-ja koju niste nikada videli, proverite zvaničnu dokumentaciju.
• Privremeni kod: pretražite TODO, mock, fake, unapred upisane podatke ili funkcije koje vraćaju fiksnu vrednost.

Jesi li dodao nove pakete? Za svaki navedi tačno ime, čemu služi i da li bismo mogli bez njega.

Korak 7: Proverite da li se uklapa

Kod može da radi i da ipak otežava kasnije menjanje aplikacije:

• Dupliranje. Ista logika kopirana na više mesta će se rasformirati.
• Doslednost. Treba da prati obrasce koje ostatak aplikacije koristi.
• Veličina. Zahtev od 20 redova koji je napravio 600 redova zaslužuje pitanje.
• Mrtav kod. Stare verzije ostavljene pored novih.

Ima li u projektu koda koji je sada neiskorišćen zbog ove izmene, ili logike koja je dupla negde drugde? Ništa ne menjaj; samo nabroj.

Uobičajene greške

• Odobravanje zato što izgleda čisto. Uredan kod može i dalje preskočiti proveru dozvola.
• Čitanje umesto testiranja. Prvo testirajte, pa čitajte.
• Testiranje samo ispravnog toka. Probajte loš ulaz, pogrešnog korisnika i odjavljeno stanje.
• Ignorisanje izmena nepovezanih datoteka. Pitajte zašto su se sve datoteke promenile.
• Potpuno verovanje samopregledu. Koristite AI-jev pregled kao prvi prolaz i potvrdite testiranjem.
• Pregledanje nedelju dana izmena odjednom. Pregledajte male izmene dok se dešavaju.

Kontrolna lista

• Znam koje su se datoteke promenile i zašto, i ništa nepovezano se nije promenilo.
• Izmena radi na računaru i telefonu, sa lošim ulazom, odjavljeno i kao drugi korisnik.
• Svaka ruta sa podacima proverava prijavu i vlasništvo na serveru.
• Nema tajni u kodu niti u paketima za pregledač.
• Ulaz se proverava na serveru; upiti koriste parametre.
• Greške se beleže, ne guše, i ne prikazuju se detaljno korisnicima.
• Novi paketi su stvarni i potrebni; nisu ostale izmišljene funkcije ni privremeni delovi.
• Izmene visokog rizika su pažljivo pročitane i, gde treba, pregledao ih je i drugi recenzent.

Pregled koda na Mythex-u

• Ask režim odgovara na pitanja o kodu bez menjanja — idealan za upite „objasni svaku izmenu“ i „koje rute nemaju proveru dozvole“. Pogledajte Chat.
• Prikaz koda pokazuje stablo datoteka, uređivač i terminal na svakom planu (samo za čitanje na Free, izmenljiv na Pro), pa možete sami da pročitate šta se promenilo. Pogledajte Uređivač koda.
• /test nalaže agentu da klikće po pregledu kao korisnik i prijavi neispravne tokove.
• Checkpoint-i vam omogućavaju da poništite izmenu koja ne prođe pregled.

Ako programer pregleda umesto vas, kako raditi sa programerom na aplikaciji napravljenoj AI-jem objašnjava predaju posla; ako pregled otkrije grešku, pogledajte kako otkloniti greške u aplikaciji napravljenoj AI-jem.

Pitanja