前阵子看到一个帖子,把我吓到了。有个创始人在通话里现场审计另一个 SaaS 的 Stripe webhook 代码,发现它处理付款失败(invoice.payment_failed)的分支,居然只是打了个日志就返回了 200。Stripe 那边看到送达成功,但这边的程序什么都没做。结果:90 天里 31 个付款失败的用户,有26 个仍保留完整权限,约$480/月 漏了整整 8 个月。这是个 $6K 月收的产品。最可怕的是:它不报错、不崩溃,看起来跟正常流量一模一样。原话:“它之所以一直漏,是因为它看起来根本不像在漏。”我于是去找一个能直接告诉我我的 Stripe 里有没有订阅处在坏状态的工具——没找到合适的。所以我自己写了一个。stripe-leak-auditor—— 免费、开源、本地运行。你给它你的 Stripe 密钥(不出你的机器,只读),它就把所有卡在past_due / unpaid / incomplete状态的订阅列出来——也就是Stripe 知道付款失败了,但订阅没被干净取消的那些。如果你的 webhook 处理代码有 bug,这些用户就在不付钱的情况下继续用。pip install stripe python-dotenv STRIPE_API_KEYsk_... python audit.py核心才 40 行,欢迎自己审一遍。跑一下你的账号,告诉我有没有查到东西。诚实说一下它还做不到的:最深的那种漏——“Stripe 已取消、但你的数据库里还显示有效”——需要连你的数据库才能抓,那是我正在准备的进阶版(如果有人要的话)。这个免费扫描是一个周末能做出来的部分。如果它帮你查到了,我想知道具体数字;如果啥也没查到、让你今晚睡得更踏实,那也是好事。仓库: gitcode.com/nine_GG/stripe-leak-auditor
前阵子看到一个帖子,把我吓到了。有个创始人在通话里现场审计另一个 SaaS 的 Stripe webhook 代码,发现它处理付款失败(invoice.payment_failed)的分支,居然只是打了个日志就返回了 200。Stripe 那边看到送达成功,但这边的程序什么都没做。结果:90 天里 31 个付款失败的用户,有26 个仍保留完整权限,约$480/月 漏了整整 8 个月。这是个 $6K 月收的产品。最可怕的是:它不报错、不崩溃,看起来跟正常流量一模一样。原话:“它之所以一直漏,是因为它看起来根本不像在漏。”我于是去找一个能直接告诉我我的 Stripe 里有没有订阅处在坏状态的工具——没找到合适的。所以我自己写了一个。stripe-leak-auditor—— 免费、开源、本地运行。你给它你的 Stripe 密钥(不出你的机器,只读),它就把所有卡在past_due / unpaid / incomplete状态的订阅列出来——也就是Stripe 知道付款失败了,但订阅没被干净取消的那些。如果你的 webhook 处理代码有 bug,这些用户就在不付钱的情况下继续用。pip install stripe python-dotenv STRIPE_API_KEYsk_... python audit.py核心才 40 行,欢迎自己审一遍。跑一下你的账号,告诉我有没有查到东西。诚实说一下它还做不到的:最深的那种漏——“Stripe 已取消、但你的数据库里还显示有效”——需要连你的数据库才能抓,那是我正在准备的进阶版(如果有人要的话)。这个免费扫描是一个周末能做出来的部分。如果它帮你查到了,我想知道具体数字;如果啥也没查到、让你今晚睡得更踏实,那也是好事。仓库: gitcode.com/nine_GG/stripe-leak-auditor
