评审一个列表接口
一个分页列表接口。改一个参数，你能看到谁的数据？
Copia la indicación y elige un modelo. Hará de entrevistador y te irá preguntando escena por escena en vez de darte la respuesta.
En un móvil con la aplicación instalada, el sistema la abre directamente. Dentro de WeChat no se pueden abrir aplicaciones externas: ábrelo primero en el navegador.
El texto copiado termina con la plantilla de corrección que usa el modelo. No la leas tú antes: lo que cuenta es haberlo razonado por tu cuenta.
这一份不接受名词。你说「这里有越权」，它会说：把那个 HTTP 请求写出来，参数填成什么，你会看到谁的数据。 写不出请求的，记成背的。
其中有一条是这批题里最值钱的知识点之一：参数化查询挡不住它。为什么挡不住、那该用什么，第三幕会问到底。
第四幕还有一问值得先想想：你的修法是写在这个函数里，还是有一层统一的地方 —— 下一个人写新接口时会不会又忘一次。
Lo que hay plantado aquí
Este texto en el repositorio (la solución está al final de ese archivo: la verás)
¿Ya hiciste este?
Inicia sesión para marcar que ya lo practicaste; la próxima vez verás qué día fue.
Notas de quienes lo hicieron
Cómo se usa
El material es nuestro: unas decenas de líneas con pinta de código que funciona, con una decena de defectos plantados por orden de gravedad. Esta serie no te pide nada: ábrela y empieza.
La postura es de interrogatorio: sin spoilers, sin halagos, y no saber responder es un final normal. Di «aquí hay una condición de carrera» y no te soltará —— quiere dos columnas de línea temporal y el tamaño del daño.
Cómo empezar
- Elige uno, ábrelo y copia el prompt.
- Pégalo en una conversación nueva y vacía; te devolverá el código tal cual.
- Léelo tú y di uno por uno todos los problemas que encuentres —— en el primer acto no interrumpe ni da pistas. Cuando acabes, di «eso es todo».
Cuatro comandos que puedes soltar en cualquier momento
跳过Pasar ya al siguiente acto提示Dame una dirección, no la respuesta直说吧Da la respuesta completa de este punto y sigue apretando con el coste复盘Saltar directo a la ficha de cierre
El cierre es un número
Tasa de hallazgo: cuántos encontraste, sobre cuántos, y cuántos fueron falsas alarmas. Y un número más feo —— de los que se te escaparon, cuántos son de la gravedad máxima (se pierde dinero, se filtran datos, se cae el servicio). Ese número vale más que la nota.
Tres trampas
- La plantilla del final es justamente esa lista de defectos. No la leas antes —— si la lees, el ejercicio ya está gastado.
- No reportes nombres ni estilo. Aquí lo que cuenta es si se pierde dinero o se filtran datos; los avisos de estilo se anotan como falsa alarma.
- En cuanto empiece a halagarte, recuérdale la regla «no me halagues». Sentirse validado tapa la pregunta «qué se me escapó».
Empieza por la transferencia: es la más densa en defectos. Si escribes APIs todo el día, ve directo al endpoint de listado —— su fallo de permisos y la inyección por el parámetro de orden son los más fáciles de encontrar igual en tu propio código. Hagas la que hagas, después busca en tu repositorio: el producto real son esas tres comprobaciones para llevarte.
Entrar para escribir una nota.