Conceitos de Segurança para Vibe Coding com Claude Code: Autenticação, Autorização e Execução

Um post no Reddit de um engenheiro de software com uma década de experiência detalha três conceitos fundamentais de segurança para desenvolvedores que usam vibe coding com Claude Code: autenticação, autorização e enforcement. O post usa a metáfora de um resort à beira-mar para tornar as ideias mais memoráveis.

Os Três Conceitos de Segurança

• Autenticação — o check-in no lobby. Os usuários provam quem são (ex.: nome de usuário/senha) e recebem uma "chave do quarto" (um token ou cookie). Toda página de login de aplicativo web é essa etapa.
• Autorização — o que um usuário válido pode fazer depois de entrar. A chave de um hóspede não deve abrir salas de funcionários ou quartos de outros hóspedes. Em aplicativos web, isso significa distinguir usuários normais de administradores e impedir acesso a dados de outros usuários.
• Enforcement — aplicar essas regras de fato. O post alerta: uma armadilha comum no vibe coding é um usuário pedir acesso a dados de outros usuários (como obter a chave do quarto 102 quando só tem o quarto 101). O aplicativo deve garantir que o usuário autenticado só acesse seus próprios recursos.

"Só fazer login (autenticação) não basta. Haverá funcionalidades que alguns usuários devem ter e outros não. Se isso não receber a devida atenção, os usuários do seu app podem ler e/ou manipular dados de outros usuários. Nada bom!"

Como Aplicar Isso ao Seu App Feito com Vibe Coding

O post é voltado para desenvolvedores iniciantes que estão criando aplicativos com Claude Code. Ele sugere pedir ao agente de IA que verifique: "Quem pode entrar? O que eles podem fazer? É seguro?" Especificamente, instrua o agente a verificar regras de autorização em cada endpoint de API ou caminho de acesso a dados — não apenas no fluxo de login.