Claude Code 自查自纠：一人公司后端审计揪出 6 个隐形 bug
Secret-Advantage-300 · reddit · 2026-10-10
一位 solo founder 的应用几乎全由 Claude Code 写成（Node + Render + Supabase + Stripe + Lovable 前端），上线数月无报错无投诉，但他让 Claude Code 以安全、效率、静默基建 bug 三个视角做全面审计，结果发现严重问题：
- 限流完全失效：未信任反代，所有访客同一 IP，所谓按用户限流实为全站共享一个额度。
- 一个畸形请求能打崩整个服务器：Express 4 不捕获 async 路由错误，传数组替代字符串即可让进程退出。
- Stripe webhook 可能丢已付款订单：DB 写失败仍向 Stripe 返回成功，Stripe 永不重试。
- 企业邮箱安全扫描器会误退订读者：扫描器点击所有链接，而退订链接一次点击即生效。
- 定价页残留 145 个已下架模型，还有一个 -100 万美元的负价（上游用 -1 表示浮动价格），另有 1000 行的静默上限。
- 评论均分被算错：应用层把缺失评分当 0 重算并覆盖了数据库的正确结果。
核心教训
- Agent 写的代码只在 happy path 上正确，这些 bug 全部只在代理、坏输入、写失败、表增长等非常规条件下暴露。
- 把「审计」作为独立任务布置给同一个 agent，并给出具体审视视角，它就能找出自己初版漏掉的问题。
- 修复要在真实环境验证，不能轻信「done」。
作者计划每 2-3 个月例行审计一次。
「编程与Agent」频道最新
- Decisions API 正式 GA,agent 反馈循环全自动剪辑云视频 — dkundel · 2026-10-23
- 50+ 免费 AI Agent 学习资源合集：视频与仓库一站打包 — ifioknkem · 2026-10-23
- 自封「全网最佳」的免费 AI Agent 资源库引围观 — ifioknkem · 2026-10-23
- Vercel 推出免注册部署：拖拽文件到首页即得线上 URL — steren · 2026-10-23
- 5 个 Claude Code 会话经 MCP 互发邮件，组队攻破多品牌网络摄像头 — doodlestein · 2026-10-23
- Vercel 上线 vercel deploy --temporary,可临时部署后自动清理 — cramforce · 2026-10-23