一条短视频让我审计自己的招聘站：29 美元的岗位能一分钱买到

📋 概述

作者运营的 GiggleGigs 是 Django 加 DRF 后端、React 前端、Celery 加 PayPal 收款，跑在一台 2GB 的 DigitalOcean 机器上。他看了条讲 RLS 的短视频后意识到自己不用 RLS 不代表没权限问题，于是逐个端点问「谁有权看或做这件事，代码真的检查了吗」，再让 AI 复审——结果 AI 找出他自己漏掉的最严重一处：捕获支付时只用 order_id 去 capture，从不校验订单由谁创建、金额是多少。而 PayPal 的 client ID 是公开的，任何人都能在自己浏览器里下一分钱的单，拿它的 ID 去换一个 29 美元的岗位发布。订阅同样可被冒领：付 49 美元的套餐却能激活 99 美元的档位，甚至提交别人的订阅 ID。