For AI agents: fetch the complete documentation index at /llms.txt, the full documentation corpus at /llms-full.txt, the agent skill at /skill.md, or this page as Markdown at /ru/docs/tanstack/security.md (or send Accept: text/markdown).
Безопасность и приватность
Rate limits, секреты, экспорт данных и аудиторский след.
Прохождение для начинающих
Предварительные требования: прочтите два приведенных ниже руководства для начинающих, завершите локальную веб-настройку и откройте этот монорепозиторий в корневой папке вашего редактора. Веб-настройки принадлежат apps/web-tanstack/.env.local; TanStack Start не читает корень .env. /dashboard в поддельном режиме по умолчанию представляет собой демонстрацию без базы данных; /auth требуется перенесенная база данных.
Вкратце: рабочее пространство — это отдельные пользователи, данные и настройки одной команды. Сервер является доверенным сервером; не допускайте попадания ключей провайдера в код браузера и телефона. Миграция — это изменение версии базы данных, при котором создаются или обновляются таблицы. Модель ИИ — это механизм, который отвечает; Каталог моделей — это список доступных идентификаторов моделей и цен на сервере. Поставщик — это внешняя служба, такая как служба искусственного интеллекта, электронной почты или службы выставления счетов. Право — это грант, который позволяет рабочей области использовать функцию. Вебхук — это сообщение, которое одна служба отправляет на URL другой службы.
1. В серверной функции или маршруте, который считывает запись, принадлежащую пользователю, перед запросом определите членство вошедшего в систему пользователя и активный workspaceId.
2. Попросите своего агента добавить один случай разрешенного участника и один отказ в чужом рабочем пространстве для точного пути к записи; укажите задействованные роли и поля.
3. Первый запрос должен завершиться успешно, а второй не должен вернуть ни одной записи/отказано в доступе. Если изменение только кнопки скрывает доступ, но прямые запросы по-прежнему работают, граница сервера отсутствует.
Для пользовательского кода начните с предоставленного prompts/README.md и скопируйте ближайшее приглашение: prompts/new-app-screen.md для экрана приложения или prompts/new-landing-page.md для общедоступной страницы. Для работы с сервером, базой данных или провайдером дайте своему агенту кодирования задание из этого руководства и попросите его прочитать AGENTS.md, .ai/PROJECT_CONTEXT.md и соответствующие зеркала .ai/; проверьте точные исходные файлы, указанные здесь; список файлов и проверки перед редактированием; сохранять права собственности на рабочую область и секреты, доступные только серверу; и покажу вам разницу. Сообщите ему желаемое поведение, поля ввода и вывода, разрешенные роли, ожидаемые успехи и ошибки, а также тестовую учетную запись, поставщика или устройство. Используйте выборочные значения; никогда не вставляйте настоящий секрет.
Решить вопрос членства перед данными
Сессия выбирает личность; сервер разрешает активное рабочее пространство и проверяет членство/роль. Каждая запись, принадлежащая пользователю, использует workspaceId. Поле клиента, идентификатор URL или аргумент, выбранный моделью, не могут заменить эту проверку владения.
Маркетинговые активы платформы и записи администратора платформы имеют явную область действия платформы; не изобретайте рабочее пространство для анонимных записей в списке ожидания.
Перенесите границу посредством асинхронной работы
Задачи, задания, контекст инструмента, ключи API, контент, хранилище и исходящие события наследуют аутентифицированную рабочую область. Проверьте идентификаторы ресурсов вместе с владением. Разрешение действительного идентификатора из другой рабочей области по-прежнему является ошибкой авторизации.
Сначала напишите отрицательные тесты
Сочетайте каждую успешную мутацию/чтение с анонимными тестами, чужими рабочими пространствами и тестами с недостаточными ролями. Никогда не раскрывайте секреты при диагностике запрещенного результата.
Настройка и конфигурация
rate-limit-runtime предоставляет общий лимитер, подключённый к маршрутам auth, checkout, API и отправок — расширяйте его на новые чувствительные к злоупотреблению эндпоинты вместо выдумывания счётчиков на маршрут. Настройки сессий, HTTPS-only cookie и секреты провайдеров остаются на сервере.
Аудиторские записи пространства (audit-runtime.ts) фиксируют значимые для безопасности изменения — конфигурацию провайдеров, обновления участников и ролей — и читаются в /settings/audit.
# Data subject export
src/data-export.ts — assembles a member's
workspace-owned records for account exportРабочий процесс внедрения
Держите учётные данные вне логов, полезных нагрузок ошибок, свойств аналитики и значений аудита — слой наблюдаемости редактирует известные ключи, но свободный текст — ответственность автора. Разрешайте авторизацию на сервере для каждого чтения и записи; состояние интерфейса — представление, а не доказательство.
Экспорт данных аккаунта и запросы на удаление проходят через границу аккаунта, так что применяются те же правила владения. Храните только те данные, которые нужны продукту.
Проверка и устранение неполадок
Нагрузите лимитер до возврата повторяемого 429, проверьте, что строки аудита появляются для мутаций, которые должны их порождать, и экспортируйте данные тестового участника. Проверяйте одно межпространственное чтение на каждый релиз — самая дешёвая регрессия, которая имеет значение.