Безопасность приложений на Lovable: чек-лист перед продакшеном

Почему это важно именно для AI-приложений

Lovable отлично собирает работающий прототип. Но модель обучена на публичном коде, где встречаются устаревшие или упрощённые практики. Никто, кроме вас, не проверит, что база защищена и ключи не лежат в клиенте.

Быстрый аудит перед прод

1. RLS на всех таблицах Supabase

Откройте базу и убедитесь, что Row Level Security включён на каждой таблице. Даже на служебных. Без RLS любой с публичным ключом может читать всю базу.

2. Проверьте политики

Политика без условия `auth.uid()` часто равна открытому доступу. Пройдитесь по каждой таблице глазами: кто может читать, писать, удалять.

3. Ключи в клиенте

В коде клиента должен быть только `anon` ключ. Если видите `service_role` - это критическая утечка, немедленно ротируйте.

4. CORS и Edge Functions

Проверьте, что публичные функции не раскрывают внутренние данные и что CORS настроен строго.

5. Валидация ввода

ИИ часто пропускает валидацию email, длины строки, типов. Пройдите формы и добавьте базовые проверки.

Типовые ошибки AI-генерации

| Ошибка | Как проявляется | Как исправить | | --- | --- | --- | | Отсутствие RLS | Данные утекают через anon-ключ | Включить RLS, добавить политику | | Хранение ролей на клиенте | Легко подменить в devtools | Хранить в отдельной таблице user_roles | | Секреты в .env клиента | Попадают в бандл | Использовать секреты Edge Functions | | Отсутствие rate-limit | Ключ ИИ разоряют за ночь | Прокси через Edge Function с лимитом |

Что делать перед запуском

• Пройти чек-лист выше руками.
• Прогнать проект в OWASP ZAP или простом сканере.
• Настроить логирование ошибок (Sentry, Logtail).
• Включить мониторинг активности в Supabase.

Часто задаваемые вопросы

Lovable сам проверяет безопасность?

Есть встроенный сканер, но он ловит очевидные вещи. Ручной аудит нужен.

Достаточно ли RLS?

Для базы - да, для бизнес-логики - нет. Критичные операции выносите в Edge Functions.

Что делать, если уже утёк ключ?

Немедленно ротировать в Supabase, обновить переменные окружения, проверить логи на подозрительную активность.