Cursor Rules для безопасности: готовый security.mdc
Секреты, права, проверка ввода, логи и журнал рисков для каждого изменения агента
Какую задачу решает
Проверять риски безопасности в сгенерированном коде
Что будет на выходе
Правила Cursor по безопасности кода
- Кому подойдёт
Вайбкодер в Cursor, которому нужны правила агента для темы «безопасность»
- Тема
- Агенты и Claude Code
- Инструменты
- Cursor
Сгенерированный код опасен там, где этого не видно в браузере. Форма работает, но сервер не проверяет, что заказ с номером из адреса принадлежит тому, кто его открыл. Ключ от платёжки лежит в файле, который попал в репозиторий. Лог пишет телефоны клиентов целиком. Агент делает так, потому что его никто не просил иначе.
Файл security.mdc — это правила, которые агент держит в голове при каждом изменении: где хранятся секреты, кто проверяет права, что валидируется на сервере, что нельзя писать в лог, и куда записывать риски, которые он заметил, но не стал чинить сам.
Описываешь, какие данные хранит проект и кто к ним имеет доступ. Промпт собирает security.mdc: секреты, авторизация, проверка ввода, логи и журнал рисков. Правило действует на каждый запрос агента.
Что получишь
- 🔑Секреты на своём месте
Ключи только в .env, который не попадает в git; в клиентский код — ни одного секрета.
- 🛂Права на каждый объект
Проверка «это твой заказ?» на сервере в каждом действии, даже если кнопка в интерфейсе скрыта.
- 🧹Проверка ввода и чистые логи
Валидация всего, что пришло от пользователя, и запрет писать в лог пароли, токены и персональные данные.
- 📒Журнал рисков
Агент не молчит о проблеме, которую заметил: записывает её в docs/security-risks.md и говорит тебе.
Как использовать
- 1Перечисли данные
Что хранит проект: email, телефоны, адреса, платежи, файлы клиентов. И кто что видит: гость, клиент, сотрудник, администратор.
- 2Опиши, как устроен вход
Через что логинятся пользователи, где хранятся ключи сторонних сервисов, куда пишутся логи.
- 3Запусти промпт и сохрани файл
Ответ целиком — в .cursor/rules/security.mdc. Создай пустой docs/security-risks.md: туда агент будет записывать находки.
- 4Проверь на опасной задаче
Попроси агента сделать страницу просмотра заказа по id. Смотри, есть ли проверка владельца и не пишет ли он данные клиента в лог.
security.mdc снижает число типовых ошибок, но не делает проект безопасным сам по себе. Перед запуском с реальными платежами и персональными данными покажи код человеку, который разбирается в безопасности.
Рядом по теме: Cursor Rules для тестов: готовый tests.mdc, Cursor Rules для React и Next.js: готовый next.mdc, Cursor Rules для Laravel: готовый laravel.mdc, статья «Cursor или Claude Code» и 12 модов Claude Code для вайбкодера (490 ₽).
Дальше — для участников
Регистрация бесплатная и занимает минуту. Часть закрытых материалов откроется сразу, без карты.
Что дальше
Проверь, не утекли ли ключи раньше, по гайду «Найди ключи и пароли до того, как их найдут другие». Если агент сам работает с внешними сервисами и данными клиентов, прочитай «Агент, которого не уговорят слить данные». Платёжные вебхуки разобраны отдельно в «Вебхуки оплаты: сценарии повторов, задержек и потери событий», а роли — в матрице прав для SaaS.
