AIアプリの公開前に二重課金と権限漏れを潰します

Claude Code / Cursor / Lovable / Bolt / Replit などで作ったWebアプリを、 公開・有料化の前に、壊れると痛いところだけに絞って確認します。 ■ 見つけ方の順序 — ここが他と違うところです 「動きがおかしい＝すぐコードを読む」ではありません。 まず動かして測る → どの層で壊れているかを切り分ける → 仮説を一つずつ潰す、の順です。 本業は自動車部品メーカーの組込みソフトウェアです。 CAN経由のモニター値だけが異常で実機の実測値は正常、という状態から 「これはハードではなくソフト側」と切り分け、校正値の参照先のずれを特定したことがあります。 コードを先に開いていたら、正常に見えるコードの中を延々と読むことになっていました。 テスト項目も同じ考え方で作ります。正常系だけでなく、想定外の操作と、 仕様に書かれていない条件を先に足します。二重課金も権限漏れも、正常系の外側にあります。 ■ 見るところ（Lite: Critical Flow 最大2本） ・課金 — 二重課金、失敗時の状態、解約後の権限 ・認証と権限 — ログイン、プラン別の権限、他人のデータが見えないか ・重複操作 — 同じボタンを2回押したとき ・retry / timeout — 途中で失敗したとき、データがどうなるか ・データの永続化 — 書いたはずのものが残っているか ■ お渡しするもの ・P0 / P1 / P2 付きの指摘一覧（期待結果・実際の結果・再現手順・証跡つき） ・指摘ごとに、ご自身で再現できる手順 ・実施した項目と、実施していない項目の一覧 ・READY / READY WITH FIXES / NOT READY の判定 ・修正の優先順位 ・直したあとの再確認1回 ■ 含まないもの（ここが本体です） ・不具合の修正実装、リファクタ、設計変更 ・ソースコード全体の監査、penetration test、公式セキュリティ認証 ・法令適合の判断 ・本番環境での検証、本番データへのアクセス、本番の認証情報の受領 ・2本目以降のアプリ、モバイルアプリ ■ 進め方 1. 対象アプリと、確認したいFlowを2本決めます 2. Staging / Sandbox のURLとテストアカウントをお預かりします 3. 2営業日で一覧と判定をお渡しします 4. 直したあと、合意した範囲で1回だけ再確認します ■ 正直に書いておくこと ・有償のご依頼実績はまだ1件もありません。 ・その代わり、同じ手順を自作アプリに適用した監査レポートを見本としてお見せできます。 　購入前にご覧ください。 ・「未発見の不具合ゼロ」「セキュリティの完全性」「審査通過」は保証しません。 　保証できないことを保証する見積は、あとで必ず問題になります。