# /lagune-plan: оцените находки и спланируйте исправления

> Превратите то, что нашла фаза detect, в план защиты, присвоив каждой находке категорию и оценку CVSS v4.0 и подобрав к ней исправление.

Канонический URL: https://lagune.ai/ru-RU/docs/commands/plan
Язык: ru-RU
Оригинал: https://lagune.ai/docs/commands/plan
Последнее обновление: 2026-11-03

🛡️ Превратите то, что нашла фаза detect, в план защиты: присвойте каждой находке категорию и оценку CVSS v4.0, а затем подберите к ней исправление.

## Использование

**Спланировать все**

```prompt
/lagune-plan
```

**Указать пути**

```prompt
/lagune-plan src/routes/upload.ts
```

**Сосредоточиться на опасении**

```prompt
/lagune-plan где могут утечь чувствительные данные
```

## Как это работает

Эта фаза продолжает detect. Detect уже выяснила, что делает ваша система и какой риск несет каждая ее часть, поэтому план не повторяет риск, а оценивает, насколько он серьезен, и решает, что с ним делать. Plan никогда не читает код, и это заставляет каждое исправление указывать на то, что detect действительно обнаружила. Она оценивает каждую находку по методу CVSS v4.0: категория, вектор CVSS v4.0, выведенный из того, что зафиксировали detect и принципы безопасности, и рассчитанный [хуком `cvss`](https://lagune.ai/ru-RU/docs/hooks/cvss), и диапазон приоритета, в который попадает эта оценка. Каждое исправление также указывает принцип безопасности, который оно поддерживает.

Например:

- **Загрузка файлов** (приоритет: **Critical**)
  - _Категория:_ неограниченная загрузка файлов (CWE-434).
  - _CVSS:_ CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N (9.3, Critical).
  - _Почему такой приоритет:_ любой может добраться до загрузки через интернет, а она находится на сервере, где хранятся файлы клиентов.
  - _Поддерживает:_ III. Любой ввод считается недоверенным, пока не проверен.
  - _Исправление:_ проверять настоящий тип и размер файла, переименовывать его при сохранении и хранить загрузки там, где их нельзя выполнить как код.

В результате у вас есть оцененный и упорядоченный по приоритету список исправлений, каждое из которых привязано к находке и готово к применению в следующей фазе. Оценка вычисляется, а не прикидывается: вектор содержит открытость проекта и ставки в виде метрик Environmental, и любой может вставить его в калькулятор FIRST или NVD и получить ту же оценку.

**Совет**

- Фаза целиком опирается на detect. Если файл или опасение так и не были выявлены, она попросит сначала запустить для них `/lagune-detect`.
- Повторный запуск обновляет план: выполненные исправления уходят, новые появляются.
- План защиты хранится в `.lagune/memory/plan.md`.

**Зависит от detect**

Plan работает только с тем, что уже выявила [`/lagune-detect`](https://lagune.ai/ru-RU/docs/commands/detect), поэтому сначала запустите detect.

## Что дальше

Примените план: [`/lagune-harden`](https://lagune.ai/ru-RU/docs/commands/harden).

## Частые вопросы

### Как Lagune расставляет приоритеты уязвимостей?

/lagune-plan присваивает каждой находке категорию и оценку CVSS v4.0, рассчитанную хуком cvss, а затем подбирает к ней исправление.

### Использует ли Lagune CVSS v4.0?

Да. Каждая находка получает вектор и оценку CVSS v4.0, которые рассчитывает хук cvss по той же арифметике, что и калькулятор FIRST, поэтому любой может вставить туда вектор и заново получить оценку.

### Читает ли план мой код?

Нет. Plan никогда не читает код, и это заставляет каждое исправление указывать на то, что detect действительно обнаружила.