סקירת קוד MemBox: API זיכרון מלוטש ודלתות דשבורד לא נעולות
MemBox כולל REST memory, קבצים, חיפוש, TTL, snapshots, webhooks, shares, analytics ו-GitHub. ה-build עובר, אך routes ללא auth חושפים tokens ומחיקה.
DEEP PROJECT REVIEW · SOURCE + LIVE PREVIEW
התצוגה המקדימה ב-Vercel נראית מוכנה ללקוחות: מקלידים שם, מקבלים endpoint, מעלים קבצים, נותנים לסוכן טוקן bearer. מאחורי הדף המסודר יושב מאגר גדול בהרבה: 11079 שורות TypeScript/TSX, 22 קובצי נתיבי API, חמש שפות ממשק, שני מצבי אחסון, קישורי שיתוף, תמונות מצב, webhooks, אנליטיקה, קריאות באצווה, TTL, חיפוש טקסט מלא ו«מוח» ב-GitHub. ואז הסקירה מגיעה לנתיבי הדשבורד. כמה מהם מחזירים רשומות box פרטיות או מוחקים boxes בלי לבדוק מי שואל. הממצא הזה לבדו משנה את פסק הדין.
יתרונות
- REST פשוט לכל HTTP client
- GitHub persistence ו-AES-GCM ל-PAT
- חמש שפות עם RTL תקין
סיכונים קריטיים
- Routes ללא auth חושפים tokens, files ומחיקה
- Tokens נשמרים plaintext
- מגבלות 1 MB ו-500 MB אינן נאכפות
איך זה בנוי
Next.js 16 משרת UI ו-routes. Prisma שומר metadata ב-SQLite; הקבצים ב-filesystem או GitHub Contents API. מאגר מרכזי שומר checkpoints, share mirrors ו-pairing records.
מה הוא יודע לעשות
ה-API כולל upsert, append, קריאה, רשימה, מחיקה, העלאות, הורדות, חיפוש, אצווה, TTL, תמונות מצב, שיתופים, webhooks ואנליטיקה, ולצדו דפדפן קבצים וצימוד ל-GitHub.
| Layer | Reviewed implementation | Finding |
|---|---|---|
| Agent API | Bearer + share tokens | Read/write split exists |
| Dashboard API | Box and file routes | Authentication gaps |
| Storage | Local FS + GitHub | Flexible, operationally complex |
| Quality | Build, lint, audit | Build passes; lint and audit need work |
איפה בקרת הגישה מחזיקה ואיפה לא
Agent routes בדרך כלל דורשים token ומפרידים read/write. יש path guards. אבל `/api/boxes` מחזיר master tokens לפי username, ו-GET, DELETE ו-preview אינם דורשים auth. זו broken access control קריטית.
גבול של טוקן bearer חזק רק כמו הנתיב החלש שלו, וכאן נקודות הקצה של הדשבורד עוקפות אותו.
סיכוני נתונים ופלטפורמה
Tokens אקראיים אך plaintext במסד. query token עלול לדלוף. webhooks מקבלים כל URL בלי חסימת private networks, ולכן SSRF אפשרי. rate limit הוא per-process.
מה התיעוד מבטיח ומה הקוד עושה
ה-UI מבטיח 1 MB ו-500 MB/file, אך ה-route קורא הכול ל-Buffer בלי בדיקה. ה-demo הראשי expired; ה-preview עובד אך ephemeral.
האם הוא נבנה, עובר lint ובדיקות
Build עובר עם tracing warnings. Lint נכשל בשש שגיאות React. אין tests. Audit מצא תשע advisories: חמש high וארבע moderate.
איך הוא נראה ונקרא
העיצוב הכהה והירוק, hero ברור וסיפור REST עובדים היטב. “No limits” סותר 1 MB והבטחת 500 MB אינה נאכפת.
מה לתקן קודם
אמתו כל dashboard route, אל תחזירו master tokens, hash secrets, אכפו caps לפני Buffer, חסמו webhook פנימי, חתמו payloads, shared rate limits ו-auth tests ב-CI.
פסק דין
צורת המוצר חזקה וה-preview מלוטש, אך הוא לא בטוח לנתונים חשובים לפני תיקון authorization.
FAQ
מהו MemBox?
REST memory/file API בקוד פתוח לסוכני AI עם חיפוש, snapshots, TTL, shares, webhooks ו-GitHub.
האם הדמו עובד?
Vercel preview עובד; האתר הראשי expired.
האם הוא מוכן לנתונים רגישים?
לא. Routes ללא auth עלולים לחשוף tokens ולמחוק boxes.
קישורים וקרדיט
תצוגה מקדימה עובדת ב-Vercel · הדמו הראשי (פג בזמן הבדיקה) · קוד המקור
Reviewed source at commit e8e53b5 · Build and audit reproduced 2026-09-21