Матрица ролей и прав для SaaS: проверь доступы до релиза

Агент сделал в твоём сервисе команды: владелец, админ, участник, гость. Гость не видит кнопку «Удалить проект», и кажется, что права настроены. Но если гость отправит запрос напрямую с ID чужого проекта, сервер может его выполнить: проверку сделали только в интерфейсе. А если подставить ID проекта из другой команды, один клиент увидит задачи другого. Это уже утечка, и первыми её обычно находят пользователи.

Промпт строит матрицу «кто что может» по ролям, действиям и объектам, отмечает дыры и спорные места и выдаёт негативные тесты: чужой ID, чужая команда, роль, которую человек повысил себе сам. Код он не меняет. Тесты ты потом отдаёшь агенту.

Что получишь

• 🧩Матрицу прав

  Роль × действие × объект. В каждой клетке: можно, нельзя, можно при условии или «не решено», с объяснением в одну строку.

• 🧱Правила изоляции команд

  Что проверяется на сервере, чтобы данные одной команды никогда не попали в другую: в API, поиске, экспорте, файлах.

• 🙋Решения для тебя

  Места, где правило зависит от продукта: может ли админ удалить владельца, видит ли гость комментарии, кто платит.

• 🧪12 негативных тестов

  Запросы, которые должны получить отказ. Их агент превратит в автотесты.

Как использовать

1. 1Опиши роли своими словами

   Кто есть в продукте и что каждый должен мочь. Например: «гость только смотрит проекты, куда его пригласили, и комментирует».

2. 2Попроси агента выписать объекты

   В проекте: «Перечисли все модели и таблицы, к которым у пользователя есть доступ, и все API-маршруты, которые их меняют». Ответ вставь в промпт.

3. 3Шаг 1: вопросы и матрица

   ИИ задаст до пяти вопросов, без которых таблица будет неверной, и построит матрицу. Ответь и проверь клетки «не решено».

4. 4Шаг 2: тесты

   Получи негативные тесты и отдай их агенту: пусть напишет автотесты и прогонит. Падающий тест — дыра, которую надо закрыть до релиза.

Рядом по теме: Мини-SaaS с AI-кодером: отчёт CPA из CSV до релиза, ТЗ на личный кабинет: разделы, права, пустые экраны, Найди дыры в проекте до того, как их найдут другие, статья «Тестирование SaaS с ИИ: 10 проверок» и Чек-лист «Перед запуском» (бесплатно).

Что дальше

• Права пользователей — половина безопасности, вторая половина — секреты в коде: найди ключи и пароли до того, как их найдут другие.
• Общий список проверок перед выкладкой: чек-лист безопасности перед релизом.
• Как убедиться, что автотесты агента правда ловят ошибки: как тестировать код, который написал агент.
• Бесплатный Чек-лист «Перед запуском» с промптами для Claude Code.