AI-промпты для разработчиков

Критические проблемы:

1. SQL-инъекция — строковая интерполяция в SQL-запросе. Атакующий может передать id = "1 OR 1=1" и получить все записи. Исправление: используйте параметризованные запросы: db.query("SELECT * FROM users WHERE id = %s", (id,))

2. IndexError — user[0] упадёт, если пользователь не найден. Исправление: return user[0] if user else None

3. Нет типизации — параметр id без аннотации типа. Исправление: def get_user(id: int) -> Optional[User]:

Code Review

Критические проблемы (critical)

1. SQL-инъекция — get_user() и get_users_with_orders() Строковая интерполяция в SQL-запросах открывает путь для SQL-инъекций.

# Было
db.query(f"SELECT * FROM users WHERE id = {id}")
# Стало
db.query("SELECT * FROM users WHERE id = %s", (id,))

2. N+1 запрос — get_users_with_orders() Для 1000 пользователей будет 1001 запрос к БД.

# Стало — один JOIN-запрос
def get_users_with_orders():
    return db.query("""
        SELECT u.*, json_agg(o.*) as orders
        FROM users u
        LEFT JOIN orders o ON o.user_id = u.id
        GROUP BY u.id
    """)

Предупреждения (warning)

3. Нет обработки «не найдено» — get_user() упадёт с IndexError. 4. Нет типизации — отсутствуют аннотации типов. 5. SELECT * вместо конкретных полей — тянет лишние данные.

interface OrderItem {
  price: number
  quantity: number
  discount?: number
}

interface CreateOrderInput {
  userId: string
  items: OrderItem[]
  promoCode?: string
}

function validateOrder(order: CreateOrderInput): void {
  if (!order.items?.length) throw new Error('No items')
  if (!order.userId) throw new Error('No user')
}

function calculateSubtotal(items: OrderItem[]): number {
  return items.reduce((sum, item) => {
    const itemTotal = item.price * item.quantity
    return sum + itemTotal - (item.discount ?? 0)
  }, 0)
}

async function applyPromo(subtotal: number, promoCode?: string): Promise<number> {
  if (!promoCode) return subtotal
  const promo = await db.promos.findOne({ code: promoCode })
  if (promo?.active) {
    return subtotal * (1 - promo.discount / 100)
  }
  return subtotal
}

async function processOrder(input: CreateOrderInput) {
  validateOrder(input)
  const subtotal = calculateSubtotal(input.items)
  const total = await applyPromo(subtotal, input.promoCode)

  const saved = await db.orders.create({
    userId: input.userId,
    items: input.items,
    total,
    status: 'pending',
  })

  await sendEmail(input.userId, 'Order created', `Order #${saved.id}`)
  return saved
}

Что изменилось: Типизация через интерфейсы, каждая функция делает одно дело, убрана вложенность, reduce вместо мутабельной переменной.

import { describe, it, expect } from 'vitest'
import { calculateSubtotal } from './order'

describe('calculateSubtotal', () => {
  it('рассчитывает сумму для нескольких товаров', () => {
    const items = [
      { price: 100, quantity: 2 },
      { price: 50, quantity: 1 },
    ]
    expect(calculateSubtotal(items)).toBe(250)
  })

  it('учитывает скидку на товар', () => {
    const items = [
      { price: 100, quantity: 1, discount: 10 },
    ]
    expect(calculateSubtotal(items)).toBe(90)
  })

  it('возвращает 0 для пустого массива', () => {
    expect(calculateSubtotal([])).toBe(0)
  })

  it('корректно обрабатывает нулевую скидку', () => {
    const items = [{ price: 100, quantity: 1, discount: 0 }]
    expect(calculateSubtotal(items)).toBe(100)
  })

  it('обрабатывает большие числа без overflow', () => {
    const items = [
      { price: 999_999, quantity: 999 },
    ]
    expect(calculateSubtotal(items)).toBe(999_999 * 999)
  })
})

Проблема найдена: утечка соединений.

Вы вызываете pool.connect(), но нигде не вызываете client.release(). Каждый запрос забирает соединение из пула и не возвращает его. При max: 5 после пятого запроса пул исчерпан.

Исправление 1 — с release:

app.get('/api/users', async (req, res) => {
  const client = await pool.connect()
  try {
    const result = await client.query('SELECT * FROM users')
    res.json(result.rows)
  } finally {
    client.release() // всегда возвращаем соединение
  }
})

Исправление 2 — без ручного управления (рекомендуемый):

app.get('/api/users', async (req, res) => {
  const result = await pool.query('SELECT * FROM users')
  res.json(result.rows)
})

pool.query() сам берёт и возвращает соединение.

Дополнительно: увеличьте max до 20-50 и добавьте idleTimeoutMillis: 30000.

Вариант 1: Kafka

Архитектура: Producer → Kafka topic (partitioned by user_id) → Consumer groups (push-worker, email-worker, sms-worker)

Плюсы: гарантия доставки, replay, горизонтальное масштабирование, приоритизация через отдельные топики. Минусы: сложность инфраструктуры, latency 50-200ms (не критично при SLA 5s), overhead для 1M/day.

Вариант 2: Redis Streams

Архитектура: XADD → stream per channel → consumer groups с XREADGROUP

Плюсы: минимальная latency (< 10ms), простота, вы уже используете Redis. Минусы: нет replay по умолчанию, ограничение по памяти, менее надёжен при сбоях.

Рекомендация

При 1M/day и at-least-once — Kafka. Это overengineering для текущей нагрузки, но правильный выбор с учётом роста. Redis Streams подойдёт как MVP, но при росте до 10M/day придётся мигрировать.

/**
 * Выполняет асинхронную функцию с автоматическими повторами
 * и экспоненциальной задержкой между попытками.
 *
 * Задержка удваивается с каждой попыткой:
 * попытка 0 — мгновенно, попытка 1 — 1с, попытка 2 — 2с, попытка 3 — 4с.
 *
 * @template T — тип возвращаемого значения функции
 * @param fn — асинхронная функция для выполнения
 * @param maxRetries — максимальное число повторов (по умолчанию 3)
 * @param baseDelay — базовая задержка в мс (по умолчанию 1000)
 * @returns Promise с результатом fn
 * @throws Последнюю ошибку, если все попытки исчерпаны
 *
 * @example
 * const data = await retryWithBackoff(
 *   () => fetch('https://api.example.com/data').then(r => r.json()),
 *   5,    // до 5 повторов
 *   2000  // начальная задержка 2 секунды
 * )
 */
export async function retryWithBackoff<T>(
  fn: () => Promise<T>,
  maxRetries: number = 3,
  baseDelay: number = 1000
): Promise<T>

[
  {
    "file": "src/api/users.ts",
    "line": 15,
    "category": "security",
    "severity": "critical",
    "message": "Unsanitized user input in SQL query",
    "suggestion": "Use parameterized query: db.query('SELECT * FROM users WHERE id = $1', [id])"
  },
  {
    "file": "src/api/users.ts",
    "line": 23,
    "category": "performance",
    "severity": "warning",
    "message": "N+1 query inside loop",
    "suggestion": "Use JOIN or batch query"
  }
]

feat(auth): add account lockout after failed login attempts

- Lock account after 5 consecutive failed attempts
- Throw AccountLockedError with userId for logging