评审一个列表接口
一个分页列表接口。改一个参数，你能看到谁的数据？
Vorlage kopieren, dann ein Modell wählen. Es spielt den Interviewer und fragt dich Szene für Szene ab, statt dir die Antwort hinzulegen.
Auf einem Telefon mit installierter App öffnet das System die App direkt. In WeChat lassen sich keine externen Apps öffnen — öffne es zuerst im Browser.
Am Ende des kopierten Textes steht der Lösungsschlüssel, mit dem das Modell dich bewertet. Lies ihn nicht vorher — es zählt, dass du selbst darauf gekommen bist.
这一份不接受名词。你说「这里有越权」，它会说：把那个 HTTP 请求写出来，参数填成什么，你会看到谁的数据。 写不出请求的，记成背的。
其中有一条是这批题里最值钱的知识点之一：参数化查询挡不住它。为什么挡不住、那该用什么，第三幕会问到底。
第四幕还有一问值得先想想：你的修法是写在这个函数里，还是有一层统一的地方 —— 下一个人写新接口时会不会又忘一次。
Hier steckt vor allem drin
Dieser Text im Repository (am Ende der Datei steht die Auflösung — du wirst sie sehen)
Schon gemacht?
Melde dich an, um festzuhalten, dass du diese Aufgabe geübt hast — beim nächsten Mal siehst du, wann das war.
Notizen von Leuten, die das gemacht haben
So funktioniert es
Das Material kommt von uns: ein paar Dutzend Zeilen scheinbar funktionierender Code mit rund zehn nach Schwere eingebauten Mängeln. Diese Reihe braucht also nichts von dir — aufmachen und loslegen.
Die Haltung ist Verhör: keine Spoiler, kein Lob, und nicht antworten zu können ist ein normaler Ausgang. Sag „hier ist eine Race Condition“ und sie lässt nicht locker — sie will zwei Spalten Zeitachse und das Ausmaß des Schadens.
So fängst du an
- Eine auswählen, öffnen, den Prompt kopieren.
- In einen frischen, leeren Chat einfügen; sie gibt dir den Code unverändert zurück.
- Lies selbst und nenne jeden gefundenen Mangel — im ersten Akt unterbricht sie nicht und gibt keine Hinweise. Sag „das war alles“, wenn du fertig bist.
Vier Kommandos, jederzeit einsetzbar
跳过Sofort zum nächsten Akt提示Gib mir eine Richtung, nicht die Antwort直说吧Nenne die vollständige Antwort und frag dann weiter nach dem Preis复盘Direkt zur Abschlusskarte
Am Ende steht eine Zahl
Eine Fundquote: wie viele du gefunden hast, von wie vielen, und wie viele davon Fehlalarme waren. Dazu eine unangenehmere Zahl — wie viele der übersehenen in die höchste Schwerestufe fallen (Geld weg, Daten abgeflossen, Dienst unten). Diese Zahl ist mehr wert als die Punktzahl.
Drei Stolperfallen
- Der Lösungsschlüssel am Ende ist genau diese Mängelliste. Lies ihn nicht vorher — danach ist die Übung verbraucht.
- Melde keine Benennung und keinen Stil. Hier zählt, ob Geld verloren geht oder Daten abfließen; Stilhinweise werden als Fehlalarm gezählt.
- Sobald sie dich lobt, verweise auf die Regel „lob mich nicht“. Das Gefühl von Bestätigung übertönt die Frage „was habe ich übersehen“.
Fang mit der Überweisung an, sie ist am dichtesten mit Mängeln. Wer täglich APIs schreibt, geht direkt zum Listen-Endpunkt — die fehlende Rechteprüfung und die Injektion über den Sortierparameter findet man im eigenen Code am ehesten wieder. Was du auch machst: durchsuche danach dein eigenes Repo. Das eigentliche Ergebnis sind die drei Prüffragen zum Mitnehmen.
Anmelden, um eine Notiz zu schreiben.