# /lagune-prove: proof of concept только для защиты

> Превратите каждую обнаруженную находку в запускаемый proof of concept (PoC), ориентированный только на защиту, и бюллетень для ответственного раскрытия.

Канонический URL: https://lagune.ai/ru-RU/docs/commands/prove
Язык: ru-RU
Оригинал: https://lagune.ai/docs/commands/prove
Последнее обновление: 2026-11-03

🧪 Превратите каждую обнаруженную находку в запускаемое свидетельство, ориентированное только на защиту, для ответственного раскрытия.

Для каждой находки из карты обнаружения команда пишет самодостаточный бюллетень и тест, который проверяет **безопасный путь**, поэтому тест падает, пока проблема существует, и проходит, как только код исправлен.

**Совет**

Тесты **Lagune** хранятся изолированно в `.lagune/`, отдельно от вашего собственного набора тестов.

## Использование

**Все находки**

```prompt
/lagune-prove
```

**Находка по имени**

Посмотрите находки, которые уже отслеживаются по имени:

```prompt
npx lagune read list --findings

# Findings
#   ...
#   • SQL injection при поиске пользователя
#   ...
```

```prompt
# Затем докажи одну из них
/lagune-prove SQL injection при поиске пользователя
```

## Как это работает

Команда читает исходный код, на который указывает каждая находка, и для каждой доказанной находки создает в `.lagune/proofs/` директорию ровно с двумя файлами:

| Файл                           | Что это                                                                                                                                         |
| ------------------------------ | ----------------------------------------------------------------------------------------------------------------------------------------------- |
| `report.test.mjs` (или `.cjs`) | Тест. Он запускается на Poku, если ваш проект уже его использует, а иначе на встроенном раннере Node.js, поэтому ничего устанавливать не нужно. |
| `report.md`                    | Самодостаточный бюллетень: критичность, последствия, как воспроизвести и команда запуска, понятный сам по себе.                                 |

Доказательства всегда пишутся на JavaScript, поэтому они переносимы, на каком бы языке ни был написан ваш проект. Индекс `README.md` ссылается на каждое доказательство и дает одну команду, чтобы запустить их все.

**Совет**

- Команда **необязательна и автономна**: она не входит в пять фаз и не является частью цепочки отслеживания.
- Она пишет только в `.lagune/proofs/` и никогда не трогает артефакты фаз или ваш код, который она только читает.
- Находка, тест которой не воспроизводит проблему, не получает доказательства, и команда попросит запустить [`/lagune-detect`](https://lagune.ai/ru-RU/docs/commands/detect) для этого места, чтобы сверить данные.
- Повторный запуск сверяет доказательства: директория находки, которой больше нет или которая больше не воспроизводится, удаляется.

**Примечание**

**Она запускается, только когда вы ее вызываете:** агент никогда не запускает ее сам.

**Опирается на detect**

Prove читает карту обнаружения от [`/lagune-detect`](https://lagune.ai/ru-RU/docs/commands/detect), поэтому сначала запустите detect.

## Только защита и только с разрешения

Прежде чем что-либо создавать, команда убеждается, что у вас есть разрешение тестировать цель, и отказывает в любом запросе на работающий эксплойт, атакующую нагрузку или обход обнаружения. Доказательство демонстрирует безопасное поведение и никогда не содержит атакующих входных данных.

## От доказательства к раскрытию

Два файла каждой доказанной находки вместе помещаются в **приватный GitHub Gist**, чтобы сообщить об уязвимости. Они свидетельствуют о существующей нераскрытой проблеме, поэтому `.gitignore` внутри `.lagune/proofs/` не пускает их ни в один коммит: делитесь ими только через этот Gist, пока мейнтейнеры не устранят проблему.

Закрывать находку в цепочке **Lagune** по-прежнему должны [`/lagune-harden`](https://lagune.ai/ru-RU/docs/commands/harden) и [`/lagune-verify`](https://lagune.ai/ru-RU/docs/commands/verify): prove создает свидетельства, но ничего не закрывает.

## Частые вопросы

### Создает ли Lagune эксплойты?

Нет. /lagune-prove пишет свидетельства, ориентированные только на защиту: тест, который проверяет безопасный путь, поэтому падает, пока проблема существует, и проходит, как только код исправлен, а также бюллетень для ответственного раскрытия.

### Что создает prove?

Два файла на каждую находку: тест (report.test.mjs или .cjs) и бюллетень (report.md).

### Как ответственно раскрыть ошибку, которую нашел Lagune?

Prove пишет самодостаточный бюллетень, которым можно поделиться через приватный канал, например приватный GitHub Gist, следуя принципам ответственного раскрытия.