Đó không phải một lần kiểm toán. Đó là một kỷ luật.

đợt audit gần nhất bao gồm những gì

Phạm vi, phương pháp và giới hạn trước. Số lượng agent sau.

Từ đợt audit lõi gần nhất, ngày 25 tháng 9 năm 2026. Số lượng agent cho biết một đợt audit bận rộn đến đâu, không cho biết nó tốt đến đâu, nên đây là những gì đợt này thực sự đã làm.

Mã

Gói lõi, 162 file và 17,362 dòng, tại một commit cố định, cùng với mã gateway cần thiết để xác định từng đường dẫn có đang hoạt động hay không.

Quyền truy cập

Toàn bộ mã nguồn, và một cơ sở dữ liệu mới dựng từ các migration. Không phải cơ sở dữ liệu production; các thiết lập chỉ có ở production được đánh dấu chưa xác minh và được tôi kiểm tra sau đó.

Phương pháp

Bốn người review mỗi người đọc trọn một tầng. Một người dẫn dắt đọc lại mọi phát hiện đối chiếu với file, và chạy lại mọi khẳng định về thời gian hay mẫu, trước khi phát hiện đó được tính.

Mức độ nghiêm trọng

HIGH nghĩa là bỏ sót một tình huống khủng hoảng hoặc từ chối dịch vụ trên một đường dẫn đang hoạt động, rò rỉ giữa các tenant, hoặc mất tiền. Mức trung bình nghĩa là một cơ chế bảo vệ fail open, một khoản credit được tạo ra từ hư không, hoặc dữ liệu bị mất một cách âm thầm. Mọi phát hiện cũng được đánh dấu live hoặc latent: có thể chạm tới trong production ngày nay, hoặc không.

Bất đồng

Một phát hiện mà người dẫn dắt không tái hiện được sẽ bị loại bỏ hoặc đánh dấu chưa xác minh, không bị gộp trung bình vào.

Kết quả

2 phát hiện HIGH và 13 phát hiện mức trung bình. Tất cả được sửa trong cùng ngày, mỗi cái kèm một test đã thất bại trên mã cũ, và toàn bộ bộ test được chạy lại trong CI.

Không bao gồm

Độ chính xác của khoảng 7,000 dòng chuỗi an toàn đã dịch, cơ sở dữ liệu production, cấu hình máy chủ web, và 17 phát hiện mức thấp vẫn còn mở.

Tự thực hiện bởi các AI reviewer do tôi chỉ đạo, không phải đảm bảo độc lập từ bên thứ ba.

nhịp độ

Bị tấn công lại, hết vòng này đến vòng khác. Mọi phát hiện liên tenant dưới đây đều được một đợt audit tìm ra, không phải do khách hàng báo cáo, và đã được sửa.

✓ các tài sản cốt lõi được giữ vững qua mọi vòng, cô lập · tiền · quản trị · SSRF · miền token

ba trong số những cái thật

Các góc nhìn bao gồm cô lập · xác thực · injection · tiền · quản trị · đặt chỗ · kênh · resident tự vận hành · quyền dữ liệu (GDPR/PECR) · trình tạo trang · frontend · vận hành. Kết luận, ở mọi vòng: không còn lỗi critical nào tồn đọng; cô lập tenant và bề mặt XSS đều sạch; không có lỗ hổng vượt xác thực nào đang hoạt động: mọi điểm biên đã xác nhận đều được sửa và triển khai lại.

những con số trung thực

Mọi con số, với dấu hoa thị đã được đính kèm sẵn.

Hầu hết người xây dựng đều thổi phồng. Tôi thà để bạn tin những phần có thật còn hơn bị ấn tượng bởi những phần không có thật.

Hệ thống trung thực vì người thiết kế nó trung thực. Tôi đảm bảo điều đó ngay từ đầu, xây sẵn bên trong, không phải gắn thêm vào sau.