مراجعة شيفرة MemBox: واجهة ذاكرة مصقولة وأبواب لوحة تحكم غير مقفلة
يجمع MemBox ذاكرة REST وملفات وبحثاً وTTL وsnapshots وwebhooks وshares وanalytics وGitHub. ينجح البناء، لكن routes بلا auth تكشف tokens وعمليات حذف.
DEEP PROJECT REVIEW · SOURCE + LIVE PREVIEW
تبدو معاينة Vercel جاهزة للعملاء: تكتب اسمًا فتحصل على نقطة وصول، وترفع ملفات، وتسلّم الوكيل رمز bearer. خلف هذه الصفحة المرتبة مستودع أكبر بكثير: 11079 سطر TypeScript/TSX، و22 ملف مسارات API، وخمس لغات للواجهة، ونمطا تخزين، وروابط مشاركة، ولقطات، وwebhooks، وتحليلات، واستدعاءات دفعية، وTTL، وبحثًا نصيًا كاملًا، و«دماغ» على GitHub. ثم تصل المراجعة إلى مسارات لوحة التحكم. عدة منها تُرجع سجلات صناديق خاصة أو تحذف صناديق دون التحقق ممن يطلب. هذه النتيجة وحدها تغيّر الحكم.
نقاط القوة
- REST بسيط لأي HTTP client
- تخزين GitHub مفهوم وتشفير PAT بـAES-GCM
- خمس لغات مع RTL عربي وعبري
مخاطر حرجة
- Routes بلا auth تكشف tokens وfiles والحذف
- Tokens محفوظة كنص صريح
- حدود 1 MB و500 MB غير مطبقة في upload
كيف بُني
يخدم Next.js 16 الواجهة وroutes. تخزن Prisma metadata في SQLite، بينما تعيش الملفات محلياً أو في GitHub Contents API. يحمل مستودع مركزي checkpoints وshare mirrors وpairing records.
ما الذي يستطيع فعله
يدعم API الكتابة والإلحاق والقراءة والقائمة والحذف والرفع والتنزيل والبحث وbatch وTTL وsnapshots وshares وwebhooks وanalytics، مع file browser وGitHub pairing.
| Layer | Reviewed implementation | Finding |
|---|---|---|
| Agent API | Bearer + share tokens | Read/write split exists |
| Dashboard API | Box and file routes | Authentication gaps |
| Storage | Local FS + GitHub | Flexible, operationally complex |
| Quality | Build, lint, audit | Build passes; lint and audit need work |
أين يصمد التحكم بالوصول وأين لا يصمد
تتحقق agent routes عادة من token وتفرق read/write. توجد path guards جيدة. لكن `/api/boxes` يعيد master tokens عند معرفة username، وGET وDELETE وpreview لا تتطلب auth. هذه broken access control حرجة.
حدّ رمز bearer لا يقوى إلا بقدر أضعف مساراته حماية، وهنا تتجاوزه نقاط لوحة التحكم.
مخاطر البيانات والمنصة
Tokens عشوائية لكنها plaintext في DB. query tokens قد تتسرب. تقبل webhooks أي URL دون حظر private networks، ما يخلق SSRF risk. rate limit داخل process فقط.
ما تعد به الوثائق وما تفعله الشيفرة
تقول الواجهة 1 MB و500 MB/file، لكن route يقرأ الملف كله في Buffer دون فحص. الرابط الأساسي expired؛ Vercel preview يعمل لكن بياناته ephemeral.
هل يُبنى ويجتاز الفحص والاختبارات؟
ينجح build مع تحذيرات tracing. يفشل lint بستة أخطاء React. لا tests. أظهر audit تسع advisories: خمس high وأربع moderate.
كيف يبدو وكيف يُقرأ
واجهة داكنة وأخضر واضح وhero مباشر. لكن “No limits” يناقض 1 MB، ووعد 500 MB غير مطبق.
ما الذي يُصلح أولًا
وثق كل dashboard route، لا تعيد master tokens، hash secrets، طبق caps قبل Buffer، امنع private webhook targets، وقع payloads، استخدم rate store مشتركاً وأضف auth tests في CI.
الحكم
الشكل المنتج قوي والمعاينة مصقولة، لكنه غير آمن للبيانات المهمة قبل إصلاح authorization.
FAQ
ما هو MemBox؟
REST memory/file API مفتوح المصدر لوكلاء AI مع search وsnapshots وTTL وsharing وwebhooks وGitHub.
هل العرض يعمل؟
Vercel preview يعمل؛ الرابط الأساسي expired.
هل يناسب البيانات الحساسة؟
لا، routes بلا auth قد تكشف tokens وتحذف boxes.
الروابط والمؤلف
المعاينة العاملة على Vercel · العرض الأساسي (انتهى وقت الفحص) · المصدر
Reviewed source at commit e8e53b5 · Build and audit reproduced 2026-09-21