Construiste una app en 20 minutos.
Tiene 12 vulnerabilidades de seguridad.

// Tu API route generada por Cursor
const apiKey = "sk-proj-abc123...";

export async function POST(req) {
  const { query } = await req.json();
  const result = await db.execute(query);
  return Response.json(result);
}

// Versión corregida
const apiKey = process.env.API_KEY;

export async function POST(req) {
  const user = await getUser(req);
  if (!user) return new Response(null, { status: 401 });
  const { query } = schema.parse(await req.json());
  const result = await db.query(query, [user.id]);
  return Response.json(result);
}

// Supabase sin RLS
const { data } = await supabase
  .from('users')
  .select('*');

// Con RLS + verificación de auth
const { data: { user } } = await supabase.auth.getUser();
if (!user) throw new Error('No autorizado');
const { data } = await supabase
  .from('users')
  .select('*');
// La política RLS filtra por auth.uid()

// .env commiteado a git
STRIPE_SECRET_KEY=sk_live_abc123
DATABASE_URL=postgres://admin:pass@...
JWT_SECRET=mysecretkey

// .env en .gitignore
# .env.example (commiteado)
STRIPE_SECRET_KEY=
DATABASE_URL=
JWT_SECRET=