Written with AI assistance from the source video. The video is the authority.
Log in to leave a comment
No posts yet
يقوم موظف غير تقني بإنشاء تطبيق ويب رائع في غضون ثلاثة أيام باستخدام أدوات البرمجة بالذكاء الاصطناعي (Vibe Coding) مثل v0 أو Cursor. يتحمس المدير التنفيذي ويقترح فورًا ربطه بقاعدة البيانات الإنتاجية ليستخدمه العملاء على الفور. في هذه اللحظة، يتصبب الفريق الهندسي أو الرئيس التنفيذي للتكنولوجيا (CTO) عرقًا باردًا. عند فتح الكود الذي أنشأه الذكاء الاصطناعي، يجدون سلسلة الاتصال بقاعدة البيانات (DSN) مدمجة مباشرةً في منتصف مكونات العميل (Client Components)، أو ينفذ استعلامات SQL دون أي عملية تحقق من البيانات.
إن رفع هذا الكود كما هو على خادم التشغيل ليس سوى مسألة وقت قبل حدوث كارثة. حتى تقرير OWASP Top 10 for LLM Applications 2025 أشار إلى أن منح الصلاحيات المفرطة للكود المنشأ بالذكاء الاصطناعي (LLM06) وعدم التحقق من مدخلات البيانات (LLM05) هما من أخطر الأسباب الأمنية. وفي الواقع، فإن 73% من حوادث الاختراق الأمني لتطبيقات الويب تستهدف غياب التحقق من المدخلات.
لحماية قاعدة بيانات الشركة دون كبح إنتاجية الموظفين غير التقنيين، يجب وضع طبقة تحكم قوية بين النموذج الأولي وقاعدة البيانات.
أول شيء يجب فعله هو سد الطريق لمنع التطبيق الذي أنشأه غير التقنيين من الاستدعاء المباشر لقاعدة البيانات. يجب وضع معالج مسارات الخادم (Server Route Handler) في Next.js App Router كوكيل (Proxy)، والتحقق من البيانات الواردة في المنتصف في الوقت الفعلي باستخدام مكتبة Zod. إن فحص الأنواع في TypeScript يعمل فقط أثناء التطوير، ولا يمنع الخادم من الانهيار عندما يرسل مستخدم حقيقي بيانات غريبة.
| عنصر التحقق | التحقق على مستوى واجهة متصفح العميل | طبقة وكيل Zod على جانب الخادم |
|---|---|---|
| موقع التنفيذ | متصفح العملاء | بيئة تشغيل Vercel Serverless |
| الأمان | من السهل تجاوزه عبر أدوات المطورين | حظر إجباري في الخادم لحماية قاعدة البيانات |
| التحقق من البيانات | فحص نصي شكلي | تحقق دقيق من نطاق القيمة ونوعها أثناء التشغيل |
| معالجة الفشل | عرض رسالة تحذير على الشاشة | إرجاع HTTP 400 وتسجيل الخطأ في Sentry |
خطوات البناء بسيطة:
app/api/v1/customer-records/route.ts داخل المشروع.companyName من حرفين على الأقل، وcontactEmail بتنسيق بريد إلكتروني، وemployeeCount يقبل الأعداد الصحيحة الموجبة فقط.request.json() باستخدام schema.parse(). قم بإدراج البيانات المقبولة فقط في قاعدة البيانات باستخدام Prisma ORM، وإذا فشلت، أرجع خطأ 400 في الحال وارفض الطلب.إلى جانب التحقق على مستوى التطبيق، يجب وضع درع دفاعي على قاعدة البيانات نفسها. إذا كنت تستخدم Supabase القائم على PostgreSQL، فإن إعداد أمان مستوى الصفوف (Row Level Security - RLS) هو الحل. ضع معلومات دور المستخدم في raw_app_meta_data التي لا يديرها سوى المسؤول، بدلاً من raw_user_meta_data التي يمكن للمستخدم التلاعب بها، ثم قم بالتحقق من رمز JWT.
`sql
-- 1. 테이블 RLS 활성화
ALTER TABLE public.enterprise_documents ENABLE ROW LEVEL SECURITY;
-- 2. JWT에서 사용자 역할 추출하는 함수 생성
CREATE OR REPLACE FUNCTION get_user_role()
RETURNS text AS
LANGUAGE sql STABLE;
-- 3. 부서가 같거나 관리자인 경우만 조회 허용하는 정책
CREATE POLICY "Department Access Policy" ON public.enterprise_documents
FOR SELECT USING (
get_user_role() = 'admin' OR
department = (current_setting('request.jwt.claims', true)::json->'app_metadata'->>'department')
);
`
عند إكمال هذا الإجراء، حتى لو تسرب مفتاح دور الخدمة (Service Role Key) عن طريق الخطأ في الكود بواسطة شخص غير تقني، فلن يتم تسريب المستندات الأمنية للأقسام الأخرى بأي حال من الأحوال.
تم تصميم أدوات الذكاء الاصطناعي للتركيز على عرض الشاشة أولاً، لذلك تميل إلى كتابة مفاتيح API أو سلاسل اتصال قاعدة البيانات في أماكن مكشوفة للمتصفح. الخطأ الأكثر شيوعًا هو إضافة البادئة _NEXT_PUBLIC في أي مكان. في Next.js، تُدرج المتغيرات التي تحمل هذه البادئة كـ نص صريح داخل ملفات JavaScript الخاصة بالمتصفح. بمجرد إنشاء متغير مثل NEXT_PUBLIC_OPENAI_API_KEY، يمكن لأي شخص يعرف كيفية فتح أدوات المطورين F12 أخذ مفتاح API الخاص بك واستخدامه كما يشاء.
يتضح ذلك جليًا عند النظر إلى الحادث الأمني الذي وقع في بنية Vercel التحتية في أبريل 2026. حيث أدى اختراق صلاحيات أداة ذكاء اصطناعي خارجية مرابطة إلى كشف المتغيرات البيئية غير المخبأة، مما اضطر العديد من الفرق إلى قضاء الليل في إعادة إصدار كلمات مرور قواعد البيانات ومفاتيح API واحدة تلو الأخرى.
من المستحيل على البشر مراجعة هذه الأخطاء يدويًا بعيونهم. يجب ربط أداة التحليل الاستاتيكي Gitleaks بـ GitHub Actions للتخلص من هذه المشاكل تلقائيًا قبل دمج الكود.
`yaml
name: Security Scan
on:
push:
branches: [main, develop]
pull_request:
branches: [main]
jobs:
gitleaks-scan:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v4
with:
fetch-depth: 0
- name: Install and Run Gitleaks
run: |
wget https://github.com/gitleaks/gitleaks/releases/download/v8.18.0/gitleaks_8.18.0_linux_x64.tar.gz
tar -xzvf gitleaks_8.18.0_linux_x64.tar.gz
sudo mv gitleaks /usr/local/bin/
gitleaks detect --source=. --verbose --redact --exit-code=1
public-env-check:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v4
- name: Check Unsafe Public Keys
run: |
UNSAFE=(grep -rn "NEXT_PUBLIC_.*\(SECRET\|KEY\|PASSWORD\|TOKEN\|DSN\)" . || true)
if [ -n "UNSAFE" ]; then
echo "클라이언트에 노출된 민감 변수 발견:"
echo "$UNSAFE"
exit 1
fi
`
بمجرد إعداد مسار التجميع هذا (Pipeline)، سيتم حظر النشر تلقائيًا في اللحظة التي يقوم فيها شخص غير تقني بإدراج مفتاح API في الكود المصدري أو في متغيرات _NEXT_PUBLIC وإجراء Push.
عند تسجيل المتغيرات في لوحة تحكم Vercel، يجب فصل نطاقات Development و Preview و Production بوضوح. وعلى وجه الخصوص، احرص على تفعيل خانة الاختيار Sensitive Environment Variable. سيؤدي ذلك إلى تشفيرها بحيث لا تظهر في سجلات البناء ولا يمكن نسخها كنص صريح من لوحة التحكم.
إذا تعطلت خوادم OpenAI أو Anthropic أو تأخرت الاستجابة، فإن معالجات Serverless بأكملها تدخل في حالة الانتظار مما يتسبب في أعطال متسلسلة. في مثل هذه الحالات، يجب تطبيق قاطع الدورة (Circuit Breaker) باستخدام مكتبة opossum في Node.js.
`typescript
import CircuitBreaker from 'opossum';
async function callLLM(prompt: string) {
// LLM API 호출 로직
}
const options = {
timeout: 5000, // 5초 넘어가면 실패 처리
errorThresholdPercentage: 50, // 실패율 50% 넘으면 차단기 오픈
resetTimeout: 30000 // 30초 후 다시 시도
};
const breaker = new CircuitBreaker(callLLM, options);
breaker.fallback(() => ({ error: "AI 응답이 지연되고 있습니다. 잠시 후 다시 시도해주세요." }));
`
إذا تأخرت استجابة API، يمكنك إرسال رسالة إرشادية مُعدة مسبقًا في غضون 0.1 ثانية لمنع تعطل الخدمة بأكملها.
لتمكين صانع التطبيق غير التقني من معرفة حالة العطل فورًا، قم أيضًا بربط Sentry مع Slack Webhook.
`typescript
// app/api/webhooks/sentry-to-slack/route.ts
import { NextResponse } from 'next/server';
export async function POST(request: Request) {
try {
const event = await request.json();
const webhookUrl = process.env.SLACK_INCOMING_WEBHOOK_URL;
if (!webhookUrl) return NextResponse.json({ error: 'Webhook 없음' }, { status: 500 });
const title = event.data?.issue?.title || '알 수 없는 시스템 오류';
const issueUrl = event.data?.issue?.permalink || '#';
await fetch(webhookUrl, {
method: 'POST',
headers: { 'Content-Type': 'application/json' },
body: JSON.stringify({
blocks: [
{
type: 'header',
text: { type: 'plain_text', text: '🚨 프로덕션 오류 발생' }
},
{
type: 'section',
text: { type: 'mrkdwn', text: `*오류 내용:*
${title}` }
},
{
type: 'actions',
elements: [
{
type: 'button',
text: { type: 'plain_text', text: 'Sentry 리포트 보기' },
url: issueUrl,
style: 'danger'
}
]
}
]
})
});
return NextResponse.json({ success: true });
} catch (err) {
return NextResponse.json({ error: '웹훅 실패' }, { status: 500 });
}
}
`
إذا تفاقم الخطأ وحدث عطل من الدرجة P1 حيث لا تفتح الصفحة الرئيسية، فلا داعي لانتظار المطورين. تحتفظ Vercel بنسخ النشر السابقة كما هي، لذا يمكنك العودة إلى الحالة السابقة بضع نُقرات فقط.
انتظر 30 ثانية فقط وسيتغير توجيه النطاق إلى الإصدار السابق. مع توفير التحقق بـ Zod، وفحص Gitleaks، وإجراءات التراجع في Vercel، يمكنك ترك غير التقنيين ينشئون التطبيقات بحرية بينما تنام أنت مرتاح البال.