评审一个列表接口
一个分页列表接口。改一个参数，你能看到谁的数据？
Copiez la consigne, puis choisissez un modèle. Il joue l'examinateur et vous interroge acte par acte au lieu de vous donner la réponse.
Sur un téléphone où l'application est installée, le système l'ouvre directement. Dans WeChat, les liens n'ouvrent pas les applications externes : ouvrez-le d'abord dans un navigateur.
Le texte copié se termine par le corrigé dont le modèle se sert pour vous évaluer. Ne le lisez pas avant : ce qui compte, c'est de l'avoir déduit vous-même.
这一份不接受名词。你说「这里有越权」，它会说：把那个 HTTP 请求写出来，参数填成什么，你会看到谁的数据。 写不出请求的，记成背的。
其中有一条是这批题里最值钱的知识点之一：参数化查询挡不住它。为什么挡不住、那该用什么，第三幕会问到底。
第四幕还有一问值得先想想：你的修法是写在这个函数里，还是有一层统一的地方 —— 下一个人写新接口时会不会又忘一次。
Ce qui est surtout planté ici
Ce texte dans le dépôt (la solution est à la fin de ce fichier — vous la verrez)
Déjà fait celui-ci ?
Connectez-vous pour noter que vous l'avez fait : la prochaine fois, vous verrez quel jour c'était.
Notes de ceux qui l'ont fait
Comment s'en servir
Le matériel vient de nous : une trentaine de lignes d'apparence fonctionnelle, avec une dizaine de défauts plantés par ordre de gravité. Cette série ne demande donc rien de votre côté : ouvrez-en une et commencez.
La posture est l'interrogatoire : pas de divulgation, pas de compliments, et ne pas savoir répondre est une issue normale. Dites « il y a une course ici » et il ne lâchera pas — il veut deux colonnes de chronologie et l'ampleur des dégâts.
Comment démarrer
- Choisissez-en un, ouvrez-le, copiez l'invite.
- Collez-la dans une conversation vide : il vous renverra le code tel quel.
- Lisez-le vous-même et énoncez chaque problème trouvé — au premier acte il n'interrompt pas et ne souffle rien. Dites « c'est tout » quand vous avez fini.
Quatre mots-clés à lancer à tout moment
跳过Passer à l'acte suivant提示Donne-moi une direction, pas la réponse直说吧Donne la réponse complète sur ce point, puis continue sur le coût复盘Passer directement à la fiche de bilan
Le bilan est un chiffre
Un taux de détection : combien vous en avez trouvés, sur combien, et combien étaient de fausses alertes. Plus un chiffre moins flatteur : parmi ceux que vous avez ratés, combien relèvent de la gravité maximale (perte d'argent, fuite de données, service à terre). Ce chiffre vaut plus que la note.
Trois pièges
- Le corrigé de la fin, c'est justement cette liste de défauts. Ne le lisez pas d'abord — une fois lu, l'exercice est consommé.
- Ne signalez pas le nommage ni le style. Ce qui compte ici, c'est de perdre de l'argent ou de fuiter des données ; les remarques de style sont comptées comme fausses alertes.
- Dès qu'il vous complimente, renvoyez-le à la règle « ne me félicite pas ». Le sentiment d'être validé recouvre le « qu'est-ce que j'ai raté ».
Commencez par le virement : c'est le plus dense en défauts. Si vous écrivez des API toute la journée, allez droit à l'endpoint de liste — son défaut de droits et son injection par le paramètre de tri sont les plus faciles à retrouver chez vous. Quoi que vous fassiez, allez ensuite fouiller votre propre dépôt : le vrai produit, ce sont les trois vérifications à emporter.
Se connecter pour écrire une note.