AI দিয়ে ফুল-স্ট্যাক — কোড লেখানো, review আর যাচাই

১ · AI সহকারী কী পারে, কী পারে না

এই কোর্সের প্রায় প্রতিটি পর্ব শেষ হয়েছে “AI-এর যুগে” নামের একটি অংশ দিয়ে। পর্ব ১৩-এ দেখেছেন cleanup ছাড়া effect, পর্ব ২৭-এ Zod 3-এর পুরোনো error.errors, পর্ব ৩৯-এ Prisma 6-এর ধাঁচের client, পর্ব ৫২-এ server আর client-এর সীমানার ভুল, পর্ব ৫৪-এ অনুমতি ছাড়া Server Action, পর্ব ৭২-এ পাস করা অথচ কিছুই না ধরা test, আর পর্ব ৭৮-এ secret-এর নামে NEXT_PUBLIC_. এই পর্ব সেই টুকরোগুলো জোড়া দিয়ে একটি কাজের পদ্ধতি বানাবে।

প্রথমে যন্ত্রটি চিনে নিই। একটি AI coding assistant বিপুল পরিমাণ লেখা আর কোড থেকে শেখা একটি language model-এর ওপর চলে। আপনি একটি prompt দেন, অর্থাৎ লেখা নির্দেশ, আর সে সবচেয়ে সম্ভাব্য পরের লেখাটি তৈরি করে। মূল কথাটি এখানেই: সম্ভাব্য আর সঠিক এক জিনিস নয়। ইন্টারনেটে Next.js-এর Pages Router-এর কোড বহু বছর ধরে জমেছে, তাই সেই ধাঁচের কোড “সম্ভাব্য” মনে হয়, যদিও আপনার project App Router-এ।

এখানে কোনো নির্দিষ্ট টুলের নাম নেওয়া হলো না, আর “সেরা” টুল বলেও কিছু নেই। টুলগুলো মাসে মাসে বদলায়; কেউ editor-এর ভেতরে লাইন পূরণ করে, কেউ chat-এ উত্তর দেয়, কেউ agent হিসেবে নিজে ফাইল বদলে command চালায়। এই পর্বের পদ্ধতি সবগুলোতেই খাটে, কারণ এটি টুলের ওপর নয়, প্রমাণের ওপর দাঁড়ানো।

২ · কাজের পদ্ধতি — প্রসঙ্গ, পরিকল্পনা, ছোট ধাপ, চালানো, পড়া

“চেকআউটে কুপন যোগ করো” লিখে পাঠালে AI-কে অনেক কিছু অনুমান করতে হয়: কোন framework, কোন version, দাম টাকায় না পয়সায়, কুপন কতবার ব্যবহার করা যায়, login লাগে কি না। প্রতিটি অনুমান একটি সম্ভাব্য bug. তাই প্রথম ধাপ হলো অনুমানের জায়গা কমানো। একটি ভালো কাজের বিবরণে পাঁচটি জিনিস থাকে:

1. Version আর stack: “Next.js 16.4, App Router, React 19, Prisma 7.10.1, Vitest 5.1.” এই এক লাইন পুরোনো API-র বড় অংশ আটকে দেয়।
2. বিদ্যমান কোড: যে type, function বা ফাইলের সাথে নতুন কোড মিলবে, সেগুলো। না দিলে AI নিজের মতো field-এর নাম বানায়।
3. শর্ত: দাম পূর্ণসংখ্যা পয়সায়, নতুন package নয়, secret client-এ নয়, প্রতিটি server-এর কাজের শুরুতে অনুমতি যাচাই।
4. গ্রহণের test: acceptance test, অর্থাৎ কোন কোন ঘটনা পাস করলে কাজ শেষ। যেমন “৫০০ টাকার কম কার্টে EID10 বাতিল”।
5. কী চাই না: Pages Router নয়, middleware.ts নয়, any নয়।

তারপর কোড নয়, আগে পরিকল্পনা চান: কোন ফাইল বদলাবে, কোন function, কোন test. পরিকল্পনা পড়তে দুই মিনিট লাগে, অথচ ভুল দিকে যাওয়া ৩০০ লাইনের কোড পড়তে এক ঘণ্টা। পরিকল্পনা ঠিক হলে কাজটি ছোট ধাপে ভাগ করুন, প্রতিটি ধাপ এমন যে একবারে চালিয়ে দেখা যায়। নিচের ডায়াগ্রামে একটি কাজের পুরো যাত্রা দেখুন।

Stack: Express 5.3, TypeScript 6.0, Vitest 5.1
দাম: পূর্ণসংখ্যা পয়সা (pricePaisa)
EID10: ১০%, সর্বোচ্চ 20000, কার্ট ≥ 50000
শর্ত: login লাগবে, কার্ট নিজের হতে হবে
নতুন package নয়

১. src/coupon.ts: applyCoupon(items, code, coupons, used, now)
২. src/app.ts: POST /api/checkout/coupon
৩. tests/coupon.test.ts, tests/api.test.ts
প্রশ্ন: now কেন argument? → test-এ সময় ঠিক রাখতে

' eid10 ' → ছাড় 9000, মোট 81000
500000 → ছাড় 20000 (সীমা)
2026-11-11T18:00:00Z → expired
এখনো কোড নেই → সব লাল, এটাই প্রত্যাশিত

ধাপ ক: applyCoupon → npx vitest run tests/coupon.test.ts
ধাপ খ: route → npx vitest run tests/api.test.ts
প্রতিটির পর: npx tsc --noEmit && npx eslint src

+ logs.push(JSON.stringify({ headers: req.headers }))
  ↑ cookie log-এ যাবে। কেন?
+ "dependencies": { "coupon-utils": "^1.0.0" }
  ↑ নতুন package চাইনি

CI: typecheck ✓ lint ✓ test 13/13 ✓
বিবরণে: “AI-এর সাহায্যে লেখা; নিয়ম আর test আমার”
Reviewer: অনুমতির পথ আর সময়ের সীমা আলাদা করে দেখলেন

এই পদ্ধতির দুটি নিয়ম আলাদা করে মনে রাখুন। সব চালান: AI যদি বলে “এটি কাজ করবে” বা “test পাস করেছে”, অথচ সে কোডটি চালায়নি, সেই কথার কোনো মূল্য নেই। প্রতিটি লাইন পড়ুন: আপনার নামে যে কোড merge হয়, তার দায় আপনার। AI-এর লেখা বলে ভুল ক্ষমাযোগ্য হয় না, ক্রেতার টাকা কাটা গেলে কেউ জিজ্ঞেস করবেন না কোডটি কে লিখেছিল।

৩ · পুরোনো API — সবচেয়ে পরিচিত ভুল, আসল run-এ

AI-এর শেখার উপাদানে পুরোনো version-এর কোড বেশি, কারণ সেগুলো বছরের পর বছর ধরে লেখা হয়েছে। Framework দ্রুত বদলায়, তাই AI আত্মবিশ্বাসের সাথে গত version-এর কোড লেখে। ল্যাবে ইচ্ছা করে পুরোনো ধাঁচের কোড লিখে আসল টুলে চালালাম। লেখার সময়ের version: Node 24.15.0, Next.js 16.4.5, React 19.3.1, TypeScript 6.0.3, Prisma 7.10.1.

Next.js: middleware.ts আর params.id

একটি project-এ পুরোনো নামের middleware.ts আর Next.js 14-এর ধাঁচে params.id সরাসরি পড়া একটি পাতা রাখলাম। সত্যিকারের run:

~/old-next$ npx next build
▲ Next.js 16.4.5 (Turbopack)
⚠ The "middleware" file convention is deprecated. Please use "proxy" instead.
  To migrate automatically, run:
  npx @next/codemod@canary middleware-to-proxy .
  Learn more: https://nextjs.org/docs/messages/middleware-to-proxy
  Creating an optimized production build ...
✓ Compiled successfully in 1155ms
  Running TypeScript ...
…
  Finished TypeScript in 1012ms ...
…
Route (app)
┌ ○ /
├ ○ /_not-found
└ ƒ /products/[id]
ƒ Proxy (Middleware)

Build সফল, শুধু একটি সতর্কবার্তা। proxy.ts হলো Next.js 16-এ middleware-এর নতুন নাম; পুরোনো নাম এখনো চলে কিন্তু deprecated. বড় বিপদটি অন্য জায়গায়: params.id নিয়ে build কিছুই বলেনি, কারণ পাতায় type লেখা ছিল { params: { id: string } }, আর TypeScript সেই ভুল ঘোষণাকেই মেনে নিয়েছে। next start চালিয়ে /products/7 চাইলাম:

~/old-next$ npx next start -H 127.0.0.1 -p 47861
GET http://127.0.0.1:47861/products/7
status 200 · x-shop: bazarghar
<h1>পণ্য </h1>

পাতা খুলল, status 200, কিন্তু পণ্যের নম্বর নেই। Next.js 15 থেকে params একটি Promise, তাই params.id হলো undefined. চলে, অথচ ভুল: AI-এর কোডের সবচেয়ে বিপজ্জনক রূপ। এখন Next.js 16-এর তৈরি করা route-সচেতন type PageProps<'/products/[id]'> দিয়ে একই ভুল লিখে next typegen আর tsc চালালাম:

~/old-next$ npx next typegen
✓ Types generated successfully
~/old-next$ npx tsc --noEmit
app/products/[id]/page.tsx(3,33): error TS2339: Property 'id' does not exist on type 'Promise<{ id: string; }>'.

এবার type check ধরল। শিক্ষাটি দুই স্তরের। এক, পুরোনো API ধরার জন্য type লাগে, কিন্তু type নিজে হাতে বানালে AI ভুল type-ও বানাতে পারে; framework-এর দেওয়া type বেশি নির্ভরযোগ্য। দুই, const { id } = await props.params লেখার পর একই tsc শূন্য error দিল। Routing-এর এই বদলগুলোর বিস্তারিত আছে পর্ব ৫১ আর পর্ব ৫৭-এ।

Prisma: version 6-এর schema, version 7-এর CLI

অনেক পুরোনো উত্তর schema-র ভেতরে database URL লেখে। Prisma 7.10.1-এ সত্যিকারের run:

~/old-prisma$ npx prisma validate
Prisma schema loaded from prisma\schema.prisma.
Error: Prisma schema validation - (validate wasm)
Error code: P1012
error: The datasource property `url` is no longer supported in schema files. Move connection URLs for Migrate to `prisma.config.ts` and pass either `adapter` for a direct database connection or `accelerateUrl` for Accelerate to the `PrismaClient` constructor. …
  -->  prisma\schema.prisma:8
 8 |   url      = env("DATABASE_URL")
Validation Error Count: 1

এখানে টুল নিজেই পথ দেখাচ্ছে: URL যাবে prisma.config.ts-এ, আর client বানাতে লাগবে একটি driver adapter. বিস্তারিত পর্ব ৩৯-এ। Error বার্তা পুরোটা পড়ার অভ্যাস এখানে কাজে লাগে; AI-কে শুধু “Prisma কাজ করছে না” বললে সে হয়তো আবার পুরোনো পথই দেখাবে।

যেগুলো নীরবে ভুল করে: Vitest আর MSW

কিছু বদল error দেয় না, শুধু আচরণ বদলায়। পর্ব ৭৩-এর ল্যাবে দেখেছেন, Vitest 5-এ clearMocks-এর ডিফল্ট true; Vitest 4-এর ধাঁচে লেখা test, যা আগের test-এর mock-এর ডাক গুনে চলত, নতুন version-এ অন্য ফল দেয়। আর পর্ব ৭৭-এর আসল run-এ MSW 3 পুরোনো option onUnhandledRequest নীরবে উপেক্ষা করেছিল, ফলে test-এর অনুরোধ সত্যিই network-এ বেরিয়ে গিয়েছিল। নতুন নাম onUnhandledFrame, আর tsc সেটি TS2353 দিয়ে ধরেছিল, যদি setup ফাইলও type check-এর আওতায় থাকে।

এ ধরনের নিয়ম মুখস্থ রাখা কঠিন, তাই অনেক দল একটি তালিকা রাখে আর যন্ত্রকে দিয়ে খোঁজায়। নিচে একটি শেখার মডেল: কয়েকটি ফাইলের কোডে পুরোনো ধাঁচ খোঁজে। এটি আসল linter নয়, শুধু ধারণা।

// Teaching model: flag code that was right in an older version.
const rules = [
  { file: /middleware\.ts$/, msg: 'Next.js 16: rename to proxy.ts' },
  { re: /from ['"]next\/router['"]/, msg: 'Pages Router import; App Router uses next/navigation' },
  { re: /getServerSideProps|getStaticProps/, msg: 'Pages Router data function; await in a Server Component' },
  { re: /\bparams\.\w+/, msg: 'Next.js 15+: params is a Promise; await it first' },
  { re: /url\s*=\s*env\(/, msg: 'Prisma 7: connection URL moves to prisma.config.ts' },
  { re: /new PrismaClient\(\)/, msg: 'Prisma 7: pass a driver adapter' },
  { re: /onUnhandledRequest/, msg: 'MSW 3: option is now onUnhandledFrame' },
  { re: /\brest\.(get|post)\(/, msg: 'MSW 2+: use http.get / http.post' },
  { re: /useFormState/, msg: 'React 19: renamed to useActionState' },
  { re: /\.error\.errors\b/, msg: 'Zod 4: use error.issues' },
];
const files = [
  { name: 'middleware.ts', code: 'export function middleware(req) {}' },
  { name: 'app/product/[id]/page.tsx',
    code: "import { useRouter } from 'next/router';\nexport default function P({ params }) {\n  return params.id;\n}" },
  { name: 'prisma/schema.prisma', code: 'datasource db {\n  provider = "postgresql"\n  url = env("DATABASE_URL")\n}' },
  { name: 'tests/setup.ts', code: "server.listen({ onUnhandledRequest: 'error' });" },
  { name: 'src/price.ts', code: 'export const add = (a, b) => a + b;' },
];
let total = 0;
for (const f of files) {
  const hits = [];
  for (const r of rules) {
    if (r.file && r.file.test(f.name)) hits.push(`  file  ${r.msg}`);
    if (!r.re) continue;
    f.code.split('\n').forEach((line, i) => {
      if (r.re.test(line)) hits.push(`  L${i + 1}    ${r.msg}`);
    });
  }
  total += hits.length;
  console.log(hits.length ? `${f.name}\n${hits.join('\n')}` : `${f.name}  ok`);
}
console.log(`${total} warnings. A rule list only knows what someone wrote into it.`);

৪ · বানানো package আর typosquatting

AI কখনো এমন package-এর নাম দেয়, যা কোথাও নেই। নামটি বিশ্বাসযোগ্য শোনায়, যেমন next-coupon-guard, কিন্তু কেউ কখনো প্রকাশ করেনি। একে বলে package hallucination. ২০২৪ সালে প্রকাশিত আর USENIX Security ২০২৫-এ গৃহীত Spracklen ও সহকর্মীদের গবেষণা অনুযায়ী, তাঁদের পরীক্ষায় কোড-লেখা মডেলগুলোর প্রস্তাবিত package-এর প্রায় ১৯.৭% ছিল অস্তিত্বহীন, আর অনেক বানানো নাম বারবার একই রকম ফিরে আসত। এই হার মডেল আর সময়ভেদে বদলায়; সংখ্যাটি নয়, ঝুঁকির ধরনটি মনে রাখুন।

ঝুঁকিটি কোথায়? বানানো নাম install করলে আজ শুধু E404 আসে। কিন্তু নামটি যদি বারবার একই রকম আসে, একজন আক্রমণকারী সেই নামে ক্ষতিকর package প্রকাশ করে রাখতে পারেন। তখন পরের কেউ AI-এর পরামর্শ মেনে install করলে আক্রমণকারীর কোড তাঁর যন্ত্রে চলে। নিরাপত্তা জগতে ২০২৫ সালে এর একটি নাম চালু হয়েছে, “slopsquatting”, যা পুরোনো typosquatting-এর আত্মীয়: জনপ্রিয় নামের সামান্য ভুল বানানে package রাখা। ২০১৭ সালে npm থেকে crossenv নামের একটি package সরানো হয়েছিল, যা জনপ্রিয় cross-env-এর নামের নকল ছিল আর environment variable চুরি করত বলে npm জানিয়েছিল। এ দুটিই supply chain attack-এর রূপ; বড় ছবি আছে পর্ব ৫০ আর Supply chain পর্বে।

Install নয়, আগে npm view

npm view registry থেকে একটি package-এর তথ্য পড়ে, কিছু install করে না, কোনো script চালায় না। তিনটি নামে সত্যিকারের run (npm 11.12.1, ৪ নভেম্বর ২০২৬):

$ npm view zod name version license repository.url maintainers time.created time.modified
name = 'zod'
version = '4.6.7'
license = 'MIT'
repository.url = 'git+https://github.com/colinhacks/zod.git'
maintainers = 'colinhacks <…>'
time.created = '2020-03-07T21:19:15.387Z'
time.modified = '2026-10-12T16:29:38.042Z'
$ npm view zod versions --json   # গুনে দেখা হলো
1013

$ npm view bazarghar-coupon-validator
npm error code E404
npm error 404 Not Found - GET https://registry.npmjs.org/bazarghar-coupon-validator - Not found
npm error 404  The requested resource 'bazarghar-coupon-validator@*' could not be found or you do not have permission to access it.

$ npm view expresss
expresss@0.0.0 | ISC | deps: none | versions: 1
temp test
maintainers:
- …
published over a year ago by …

তিনটি ফল তিনটি শিক্ষা দেয়। zod: ছয় বছরের পুরোনো, এক হাজারের বেশি version, পরিচিত repository, সর্বশেষ version এক মাসের কম পুরোনো; বিশ্বাসযোগ্য চিহ্ন, তবু docs আর repository নিজে খুলে মিলিয়ে নিন। bazarghar-coupon-validator: E404, নামটি নেই; AI-এর প্রস্তাব হলে সেটি বানানো। expresss, এক অক্ষর বেশি: নামটি আছে! এটি অন্য একজনের প্রকাশ করা একটিমাত্র version-এর package, বিবরণ “temp test”, Express-এর সাথে কোনো সম্পর্ক নেই। এটি ক্ষতিকর এমন কোনো ইঙ্গিত নেই, আর আমরা install-ও করিনি। শিক্ষাটি হলো, টাইপের একটি ভুলে আপনি সম্পূর্ণ অন্য কারও কোড চাইতে পারেন, আর npm install কোনো আপত্তি করবে না। (Maintainer-এর নাম আর ইমেইল এখানে “…” করে রাখা হলো।)

নামের মিল যন্ত্র দিয়েও মাপা যায়। Edit distance বলে একটি শব্দকে আরেকটিতে বদলাতে কতগুলো অক্ষর যোগ, মোছা বা বদল লাগে। নিচের শেখার মডেলটি অনুরোধ করা নামকে আপনার বিশ্বস্ত তালিকার সাথে মেলায়:

// Teaching model of a typosquatting check: compare a requested name
// with names you already trust, using Levenshtein edit distance.
function lev(a, b) {
  const row = Array.from({ length: b.length + 1 }, (_, j) => j);
  for (let i = 1; i <= a.length; i++) {
    let prev = row[0];
    row[0] = i;
    for (let j = 1; j <= b.length; j++) {
      const keep = row[j];
      row[j] = Math.min(row[j] + 1, row[j - 1] + 1, prev + (a[i - 1] === b[j - 1] ? 0 : 1));
      prev = keep;
    }
  }
  return row[b.length];
}
const trusted = ['express', 'react', 'react-dom', 'next', 'zod', 'prisma', 'vitest',
  'supertest', 'msw', 'dayjs', 'axios', 'lodash', 'cross-env'];
const requested = ['zod', 'expresss', 'raect', 'crossenv', 'lodahs', 'next-coupon-guard'];

for (const name of requested) {
  if (trusted.includes(name)) { console.log(`OK        ${name}`); continue; }
  let best = null, dist = Infinity;
  for (const t of trusted) {
    const d = lev(name, t);
    if (d < dist) { dist = d; best = t; }
  }
  if (dist <= 2) console.log(`LOOKALIKE ${name}  ~ ${best} (distance ${dist}) -> fix the spelling`);
  else console.log(`UNKNOWN   ${name}  (nearest ${best}, distance ${dist}) -> check the registry first`);
}

একটি অচেনা package হাতে এলে যাচাইয়ের ধাপগুলো দেখুন। মানগুলো ওপরের আসল npm view run থেকে।

1AI: npm i next-coupon-guard2npm view next-coupon-guard3npm view expresss4npm view zod … time maintainers5repository, docs, install script6npm i zod  → lockfile, npm audit

৫ · চলে, কিন্তু বিপজ্জনক — secret, অনুমতি, N+1 আর locale

পুরোনো API অন্তত প্রায়ই error দেয়। পরের ভুলগুলো চুপচাপ থাকে: পাতা খোলে, test-এর সুখী পথ পাস করে, আর ক্ষতি হয় অনেক পরে। এগুলো ধরতে আপনাকে ইচ্ছা করে খারাপ অনুরোধ পাঠাতে হয়, বা উত্তরের ভেতরটা পড়তে হয়।

Locale-এর ভুলটি ল্যাবে এক লাইনে দেখা যায়। একই মুহূর্ত, ১১ নভেম্বর ২০২৬ UTC সন্ধ্যা ৭:৩০, server চলছে UTC-তে আর ক্রেতার browser ঢাকায়। সত্যিকারের run, Node 24.15.0:

$ TZ=UTC node -e "…"         # timeZone ছাড়া | timeZone: 'Asia/Dhaka'
server TZ=UTC  : 11/11/2026 | ১২/১১/২০২৬
$ TZ=Asia/Dhaka node -e "…"
browser Dhaka  : 11/12/2026 | ১২/১১/২০২৬

timeZone না দিলে server বলে ১১ তারিখ, browser বলে ১২ তারিখ; Next.js-এ এই পার্থক্যই hydration mismatch. timeZone: 'Asia/Dhaka' দিলে দুই জায়গায় একই ১২/১১/২০২৬. AI-এর লেখা তারিখের কোডে প্রায়ই locale আর zone কোনোটিই থাকে না, কারণ লেখকের নিজের যন্ত্রে সেটি ঠিকই দেখায়।

Secret-এর ভুল ধরার একটি অংশ যন্ত্রকে দেওয়া যায়। gitleaks-এর মতো scanner পরিচিত key-এর আকার আর এলোমেলোতা খোঁজে। নিচে একটি diff-এর শুধু যোগ করা লাইনে চালানো শেখার মডেল:

// Teaching model of a secret scan over the added lines of a diff.
const diff = `+++ b/src/pay.ts
+const key = "bzg_live_k7Qp2Xv9LmR4tW8nZc3YhJ6d";
+const label = "aaaaaaaaaaaaaaaaaaaaaaaa";
-const old = 1;
+NEXT_PUBLIC_PAYMENT_SECRET=example-secret
+logger.info({ msg: 'coupon', headers: req.headers });
+const url = process.env.DATABASE_URL;`;

function entropy(s) {
  const n = {};
  for (const ch of s) n[ch] = (n[ch] || 0) + 1;
  return Object.values(n).reduce((h, c) => h - (c / s.length) * Math.log2(c / s.length), 0);
}
const rules = [
  ['known key prefix', (l) => /\b[a-z]{3}_(live|test)_[A-Za-z0-9]{16,}/.test(l)],
  ['secret in a public variable', (l) => /NEXT_PUBLIC_\w*(SECRET|KEY|TOKEN)/.test(l)],
  ['logs headers or cookies', (l) => /log\w*[.(].*(headers|cookie)/i.test(l)],
  ['high-entropy string', (l) => (l.match(/["']([^"']{20,})["']/g) || [])
    .some((q) => entropy(q.slice(1, -1)) > 4)],
];
diff.split('\n').forEach((line, i) => {
  if (!line.startsWith('+') || line.startsWith('+++')) return;
  const hits = rules.filter(([, test]) => test(line)).map(([name]) => name);
  console.log(`${hits.length ? 'FLAG' : 'ok  '} line ${i + 1}: ${hits.join(', ') || '-'}`);
});
const k = 'k7Qp2Xv9LmR4tW8nZc3YhJ6d';
console.log('entropy of the key part:', entropy(k).toFixed(2), 'bits/char; of "aaaa...":',
  entropy('aaaaaaaaaaaaaaaaaaaaaaaa').toFixed(2));

৬ · যাচাই-ই মূল দক্ষতা

AI লেখার খরচ প্রায় শূন্যে নামিয়ে এনেছে। ফলে দামি হয়ে উঠেছে বিচার: কোনটি ঠিক, কোনটি নিরাপদ, আর কীভাবে প্রমাণ করব। এই কোর্সে যাচাইয়ের যে টুলগুলো শিখেছেন, সেগুলো এখন একসাথে একটি অভ্যাস:

Test-এর অংশটি সবচেয়ে প্রতারণাময়, কারণ AI-এর লেখা test প্রায় সবসময় সবুজ। Mutation testing-এর মূল চিন্তা হলো test-কে test করা: কোডে ইচ্ছা করে একটি ছোট ভুল, একটি mutant, ঢুকিয়ে দেখা কোনো test সেটি ধরে কি না। নিচের মডেলে একই নিয়মের একটি ঠিক আর একটি ভুল কোড, আর দুটি test suite:

// A weak test passes a wrong implementation. A stronger one does not.
// Rule: EID10 gives 10% off, rounded to whole paisa, at most 20000 paisa.
const right = (sub) => Math.min(Math.round(sub * 0.1), 20000);
const wrong = (sub) => sub * 0.1; // no rounding, no cap

function check(name, ok) { return (ok ? 'PASS ' : 'FAIL ') + name; }

const weak = (discount) => [
  check('discount is positive and below the subtotal',
    discount(90000) > 0 && discount(90000) < 90000),
];
const strong = (discount) => [
  check('900 taka cart -> 9000 paisa off', discount(90000) === 9000),
  check('5000 taka cart -> capped at 20000', discount(500000) === 20000),
  check('104999 paisa -> 10500, whole paisa', discount(104999) === 10500),
];

for (const [label, suite, impl] of [
  ['weak suite,   wrong code', weak, wrong],
  ['strong suite, wrong code', strong, wrong],
  ['strong suite, right code', strong, right],
]) {
  const lines = suite(impl);
  const failed = lines.filter((l) => l.startsWith('FAIL')).length;
  console.log(`${label}: ${lines.length - failed} passed, ${failed} failed`);
  for (const l of lines) console.log('   ' + l);
}
console.log('wrong(500000) =', wrong(500000), ' wrong(104999) =', wrong(104999));

নিরাপত্তার অংশে একটি ছোট তালিকা প্রতিটি AI-এর বদলে চালান: (ক) প্রতিটি server-এর কাজের শুরুতে login, তারপর মালিকানা বা role; (খ) দাম, মালিক, ছাড় client থেকে নেওয়া নয়; (গ) input schema দিয়ে যাচাই; (ঘ) কোনো secret client-এর কোডে বা log-এ নয়; (ঙ) CORS বা CSP ঢিলা করে error থামানো নয়; (চ) নতুন dependency থাকলে তার কারণ জানা। পুরো তালিকা আছে পর্ব ৫০-এ, তত্ত্ব Broken access control পর্বে।

৭ · Test আগে লেখানো, আর AI-এর PR review

AI-কে কোড আর test একসাথে লিখতে দিলে একটি সূক্ষ্ম সমস্যা হয়: test প্রায়ই কোডের বর্তমান আচরণ দেখে লেখা হয়। কোড ভুল হলে test-ও সেই ভুল মেনে নেয়। তাই ক্রম উল্টে দিন: test-first. আগে নিয়মগুলো দিয়ে test লেখান, নিজে পড়ে প্রত্যাশিত সংখ্যাগুলো হাতে মিলিয়ে নিন, চালিয়ে দেখুন সব লাল। তারপর কোড লেখান, আর শর্ত দিন “test বদলাবে না”। Test-driven development-এর ধারণা নতুন নয়, Kent Beck ১৯৯০-এর দশকের শেষে Extreme Programming-এর অংশ হিসেবে এটি জনপ্রিয় করেন, আর ২০০২ সালের দিকে এ নিয়ে বই লেখেন; বিস্তারিত আছে TDD ও BDD পর্বে। AI-এর যুগে এর একটি নতুন সুবিধা: test হয়ে যায় আপনার আর AI-এর মধ্যে চুক্তি, যা AI নিজে বদলাতে পারে না।

AI-এর লেখা pull request-এর code review মানুষের PR-এর মতোই, তবে কয়েকটি জায়গায় বাড়তি চোখ লাগে। সাধারণ নিয়ম আর review-এর মনস্তত্ত্ব আছে Software Engineering কোর্সের code review পর্বে আর pull request পর্বে। AI-এর PR-এ যেগুলো বিশেষ করে দেখবেন:

৮ · পুরো উদাহরণ — checkout-এ কুপন কোড

এবার সবকিছু একসাথে। কাজ: বাজারঘরের checkout-এ কুপন কোড যোগ করা। ল্যাবে একটি ছোট Express project বানালাম, লেখার সময়ের version: Express 5.3.0, TypeScript 6.0.3, Vitest 5.1.0, supertest 7.3.1, ESLint 10.14.0, typescript-eslint 8.72.1. কোনো AI সেবা ডাকা হয়নি। নিচের prompt একটি উদাহরণ, আর তার পরের “নমুনা AI উত্তর” আমি নিজে লিখেছি, AI-এর সাধারণ ভুলগুলো এক জায়গায় দেখানোর জন্য। এটি কোনো AI-এর আসল উত্তর নয়।

এই prompt-এ version নেই, দামের একক নেই, ছাড়ের সীমা নেই, সময়ের সীমা নেই, login-এর কথা নেই। এমন prompt-এ যে ধরনের উত্তর আসতে পারে, তার একটি নমুনা:

// নমুনা AI উত্তর (শেখানোর জন্য লেখা, আসল AI-এর উত্তর নয়)
export function applyCoupon(
  items: CartItem[],
  code: string,
  coupons: Coupon[],
  usedByUser: number,
  now = new Date(),
): CouponResult {
  const coupon = coupons.find((c) => c.code === code);
  if (!coupon) return { ok: false, reason: 'not_found' };
  if (new Date(coupon.expiresAt) < now) return { ok: false, reason: 'expired' };

  const subtotalPaisa = items.reduce((s, i) => s + i.pricePaisa * i.qty, 0);
  const discountPaisa =
    coupon.kind === 'percent' ? (subtotalPaisa * coupon.value) / 100 : coupon.value;

  return { ok: true, subtotalPaisa, discountPaisa, totalPaisa: subtotalPaisa - discountPaisa };
}

// নমুনা AI উত্তর (শেখানোর জন্য লেখা)
app.post('/api/checkout/coupon', (req: any, res: any) => {
  const { cartId, code } = req.body;
  logs.push(JSON.stringify({ msg: 'apply coupon', headers: req.headers, body: req.body }));

  const cart = carts.get(cartId);
  if (!cart) return res.status(404).json({ error: 'cart not found' });

  const used = usage.get(`${cart.userId}:${code}`) ?? 0;
  const result = applyCoupon(cart.items, code, coupons, used);
  if (!result.ok) return res.status(422).json(result);
  res.json(result);
});

Review: চোখে পড়া ভুল

কোডটি পরিষ্কার দেখায়, নাম সুন্দর, type আছে। এখন লাইন ধরে পড়ি:

1. c.code === code: " eid10 " লিখলে মিলবে না। ক্রেতারা ছোট হাতের অক্ষর আর বাড়তি space লেখেন।
2. coupon.expiresAt: আমাদের Coupon type-এ field-এর নাম endsAt; AI নিজে একটি নাম বানিয়েছে। undefined থেকে new Date হয় Invalid Date, আর তার সাথে যেকোনো তুলনা false, অর্থাৎ কুপন কখনো মেয়াদোত্তীর্ণ হবে না। শুরুর সময়ও যাচাই হয়নি।
3. usedByUser নেওয়া হয়েছে, কিন্তু কোথাও ব্যবহার হয়নি: একজন ক্রেতা একবারের কুপন বারবার।
4. সর্বনিম্ন কার্ট আর সর্বোচ্চ ছাড়ের সীমা নেই; শতাংশের ছাড়ে ভগ্নাংশ পয়সা; FLAT50 ছোট কার্টে মোট ঋণাত্মক করে।
5. Route-এ login নেই, আর কার্টটি কার, তা দেখা হয়নি: যে কেউ যেকোনো cartId দিয়ে চেষ্টা করতে পারেন।
6. Log-এ পুরো req.headers, তাতে session cookie. Log যাঁরা পড়তে পারেন, তাঁরা ক্রেতার session পেয়ে যান।
7. req: any: TypeScript-এর পাহারা বন্ধ, input-এর আকার যাচাই নেই।

প্রমাণ: যাচাইয়ের টুলগুলো কী বলে

চোখে দেখা ভুল প্রমাণ নয়। আগে AI-এর ধাঁচের দুর্বল test, যা শুধু দেখে কুপন “কাজ করছে”। সত্যিকারের run:

~/bazarghar-coupon$ npx vitest run tests/coupon.weak.test.ts
 RUN  v5.1.0 ~/bazarghar-coupon
 Test Files  1 passed (1)
      Tests  1 passed (1)

সবুজ। এবার নিয়ম থেকে লেখা test: ৮টি নিয়মের unit test আর ৪টি API test, প্রত্যাশা হাতে হিসাব করা। নমুনা উত্তরের ওপর সত্যিকারের run (দীর্ঘ আউটপুট ছাঁটা):

~/bazarghar-coupon$ npx vitest run
 ❯ tests/coupon.test.ts (8 tests | 8 failed) 12ms
     × accepts lower case and spaces
     × caps the discount at 200 taka
     × rounds to whole paisa
     × rejects a cart below 500 taka
     × is not valid one second before Dhaka midnight on 1 Nov
     × expires exactly at Dhaka midnight on 12 Nov
     × can be used once per customer
     × never makes the total negative
 ❯ tests/api.test.ts (4 tests | 4 failed) 45ms
   × needs a login
   × does not let Bob use Alice's cart
   × applies EID10 to the owner cart
   × never writes the session cookie to the log

 FAIL  tests/api.test.ts > needs a login
AssertionError: expected 200 to be 401 // Object.is equality
 FAIL  tests/api.test.ts > does not let Bob use Alice's cart
AssertionError: expected 200 to be 404 // Object.is equality
 FAIL  tests/api.test.ts > never writes the session cookie to the log
+ {"msg":"apply coupon","headers":{"cookie":"sid=sess-alice-example", …
 FAIL  tests/coupon.test.ts > EID10 rules > caps the discount at 200 taka
-   "discountPaisa": 20000,
+   "discountPaisa": 50000,
 FAIL  tests/coupon.test.ts > EID10 rules > rounds to whole paisa
+   "discountPaisa": 10499.9,
+   "totalPaisa": 94499.1,
 FAIL  tests/coupon.test.ts > FLAT50 > never makes the total negative
+   "discountPaisa": 5000,
+   "totalPaisa": -2000,
…
 Test Files  2 failed | 1 passed (3)
      Tests  12 failed | 1 passed (13)

১৩টির মধ্যে ১২টি লাল; একমাত্র সবুজটি সেই দুর্বল test. “applies EID10 to the owner cart” লাল হয়েছে expected 422 to be 200 দিয়ে, কারণ test-এ ক্রেতা ছোট হাতে eid10 লিখেছিলেন। Type check আর lint, একই নমুনা কোডে, সত্যিকারের run:

~/bazarghar-coupon$ npx tsc --noEmit
src/coupon.ts(12,23): error TS2339: Property 'expiresAt' does not exist on type 'Coupon'.
~/bazarghar-coupon$ npx eslint src
src/app.ts
  9:40  error  Unexpected any. Specify a different type  @typescript-eslint/no-explicit-any
  9:50  error  Unexpected any. Specify a different type  @typescript-eslint/no-explicit-any
✖ 2 problems (2 errors, 0 warnings)

লক্ষ করুন, Vitest test চালানোর সময় type যাচাই করে না, শুধু type মুছে কোড চালায়। তাই expiresAt-এর ভুল test-এ দেখা গেছে আচরণ হিসেবে (কুপন কখনো মেয়াদোত্তীর্ণ হয় না), আর tsc-এ দেখা গেছে কারণ হিসেবে। আবার lint usedByUser-এর অব্যবহার ধরেনি, কারণ ESLint-এর ডিফল্ট নিয়ম শেষ ব্যবহৃত argument-এর আগের argument নিয়ে চুপ থাকে। এজন্যই একাধিক ছাঁকনি লাগে। নিচে ধাপে ধাপে দেখুন, প্রতিটি test নমুনা কোডের কোন লাইনে আটকায়।

10coupons.find((c) => c.code === code)12new Date(coupon.expiresAt) < now15(subtotalPaisa * coupon.value) / 10017totalPaisa: subtotalPaisa - discountPaisa9usedByUser (কখনো পড়া হয় না)Rcarts.get(cartId) — login ছাড়া

সংশোধিত কোড

Review-এর পর, এবার নিয়ম আর শর্তসহ ভালো prompt দিয়ে বা নিজের হাতে, সংশোধিত কোড। প্রতিটি লাইন একটি নিয়মের সাথে মেলে:

export function normalizeCode(raw: string): string {
  return raw.trim().toUpperCase();
}

export function applyCoupon(
  items: CartItem[], rawCode: string, coupons: Coupon[], usedByUser: number, now: Date,
): CouponResult {
  const coupon = coupons.find((c) => c.code === normalizeCode(rawCode));
  if (!coupon) return { ok: false, reason: 'not_found' };

  const t = now.getTime();
  if (t < Date.parse(coupon.startsAt)) return { ok: false, reason: 'not_started' };
  if (t >= Date.parse(coupon.endsAt)) return { ok: false, reason: 'expired' };
  if (usedByUser >= coupon.perUserLimit) return { ok: false, reason: 'limit_reached' };

  const subtotalPaisa = items.reduce((s, i) => s + i.pricePaisa * i.qty, 0);
  if (subtotalPaisa < coupon.minSubtotalPaisa) return { ok: false, reason: 'min_subtotal' };

  let discountPaisa =
    coupon.kind === 'percent' ? Math.round((subtotalPaisa * coupon.value) / 100) : coupon.value;
  if (coupon.maxDiscountPaisa !== undefined) {
    discountPaisa = Math.min(discountPaisa, coupon.maxDiscountPaisa);
  }
  discountPaisa = Math.min(discountPaisa, subtotalPaisa);

  return { ok: true, subtotalPaisa, discountPaisa, totalPaisa: subtotalPaisa - discountPaisa };
}

app.post('/api/checkout/coupon', (req, res) => {
  const userId = sessionUser(req.headers.cookie);
  if (!userId) return res.status(401).json({ error: 'login required' });

  const { cartId, code } = req.body ?? {};
  if (typeof cartId !== 'string' || typeof code !== 'string' || code.length > 32) {
    return res.status(400).json({ error: 'invalid input' });
  }
  const cart = carts.get(cartId);
  if (!cart || cart.userId !== userId) return res.status(404).json({ error: 'cart not found' });

  const used = usage.get(`${userId}:${normalizeCode(code)}`) ?? 0;
  const result = applyCoupon(cart.items, code, coupons, used, new Date());
  logs.push(JSON.stringify({ msg: 'apply coupon', userId, cartId, ok: result.ok }));
  if (!result.ok) return res.status(422).json(result);
  return res.json(result);
});

কয়েকটি সিদ্ধান্তের কারণ। অন্যের কার্টে 403 নয়, 404: কার্টটি আছে কি না, তা-ও অন্যকে জানানো হয় না। মেয়াদের শেষ সময় “ঢাকার ১২ নভেম্বরের মধ্যরাত” UTC-তে 2026-11-11T18:00:00Z হিসেবে রাখা, আর তুলনা >=, অর্থাৎ শেষ মুহূর্তটি বাদ। now argument হিসেবে আসে, তাই test-এ সময় ঠিক রাখা যায়। ছোট এই উদাহরণে input যাচাই হাতে লেখা; বড় অ্যাপে পর্ব ২৭-এর মতো Zod schema ভালো। আসল দোকানে ব্যবহারের হিসাব database-এ আর একই transaction-এ বাড়াতে হবে, নইলে একসাথে দুটি অনুরোধে একবারের কুপন দুবার চলতে পারে (পর্ব ৪৩)। সংশোধিত কোডে সত্যিকারের run:

~/bazarghar-coupon$ npx tsc --noEmit && npx eslint src && echo "types and lint ok"
types and lint ok
~/bazarghar-coupon$ npx vitest run --reporter=verbose
 ✓ tests/coupon.weak.test.ts > applies the coupon 1ms
 ✓ tests/coupon.test.ts > EID10 rules > accepts lower case and spaces 1ms
 ✓ tests/coupon.test.ts > EID10 rules > caps the discount at 200 taka 0ms
 ✓ tests/coupon.test.ts > EID10 rules > rounds to whole paisa 0ms
 ✓ tests/coupon.test.ts > EID10 rules > rejects a cart below 500 taka 0ms
 ✓ tests/coupon.test.ts > EID10 rules > is not valid one second before Dhaka midnight on 1 Nov 0ms
 ✓ tests/coupon.test.ts > EID10 rules > expires exactly at Dhaka midnight on 12 Nov 0ms
 ✓ tests/coupon.test.ts > EID10 rules > can be used once per customer 0ms
 ✓ tests/coupon.test.ts > FLAT50 > never makes the total negative 0ms
 ✓ tests/api.test.ts > needs a login 25ms
 ✓ tests/api.test.ts > does not let Bob use Alice's cart 5ms
 ✓ tests/api.test.ts > applies EID10 to the owner cart 3ms
 ✓ tests/api.test.ts > never writes the session cookie to the log 0ms
 Test Files  3 passed (3)
      Tests  13 passed (13)

সবুজ test তখনই বিশ্বাসযোগ্য, যখন জানি তারা ভুল ধরতে পারে। তাই শেষ ধাপে সংশোধিত কোডে হাতে চারটি mutant ঢোকালাম, একবারে একটি, প্রতিবার পুরো suite চালিয়ে আবার আসল কোড ফেরত। একটি ছোট node script দিয়ে, সত্যিকারের run:

~/bazarghar-coupon$ node mutate.mjs
KILLED   t >= Date.parse(coupon.endsAt)  ->  t > Date.parse(coupon.endsAt)
         FAIL  tests/coupon.test.ts > EID10 rules > expires exactly at Dhaka midnight on 12 Nov
KILLED   discountPaisa = Math.min(discountPaisa, subtotalPaisa);  ->  (line removed)
         FAIL  tests/coupon.test.ts > FLAT50 > never makes the total negative
KILLED   !cart || cart.userId !== userId  ->  !cart
         FAIL  tests/api.test.ts > does not let Bob use Alice's cart
KILLED   usedByUser >= coupon.perUserLimit  ->  usedByUser > coupon.perUserLimit
         FAIL  tests/coupon.test.ts > EID10 rules > can be used once per customer

চারটি mutant-ই ধরা পড়ল, আর প্রতিটি ঠিক সেই test-এ, যা ওই নিয়মের জন্য লেখা। মালিকানার শর্ত মুছলে Bob-এর test লাল; এই প্রমাণ ছাড়া “authorization আছে” কথাটি শুধু একটি দাবি। Stryker-এর মতো টুল এই কাজ স্বয়ংক্রিয়ভাবে, শত শত mutant দিয়ে করে (পর্ব ৭২); এখানে হাতে চারটি দিয়ে ধারণাটি দেখা হলো।

৯ · গোপনীয়তা, লাইসেন্স আর শেখা বনাম কাজ ছেড়ে দেওয়া

যা কখনো পেস্ট করবেন না

Prompt-এ যা লেখেন, তা অন্য কারও server-এ যায়। সেবাভেদে সেটি সংরক্ষিত হতে পারে, মানুষ পড়তে পারেন, বা মডেল প্রশিক্ষণে ব্যবহার হতে পারে; নিয়ম জানতে সেই সেবার শর্ত আর আপনার প্রতিষ্ঠানের নীতি পড়ুন। তিনটি জিনিস কখনো এমন টুলে নয়, যেটি ব্যবহারের অনুমতি আপনার নেই: secret (key, password, .env-এর লেখা), ক্রেতার তথ্য (নাম, ফোন, ঠিকানা, অর্ডার; অর্থাৎ PII), আর প্রতিষ্ঠানের গোপন কোড. ২০২৩ সালে প্রকাশিত খবর অনুযায়ী একটি বড় ইলেকট্রনিক্স প্রতিষ্ঠানের কয়েকজন কর্মী অভ্যন্তরীণ source code একটি জনপ্রিয় chat সেবায় পেস্ট করেছিলেন, যার পর প্রতিষ্ঠানটি সাময়িকভাবে এমন টুলের ব্যবহার সীমিত করে। কাজের ধরনটিই ঝুঁকি, কোনো বিশেষ প্রতিষ্ঠান নয়।

বিকল্প সহজ: আসল মানের বদলে example-secret, আসল ক্রেতার বদলে বানানো নমুনা, পুরো repository-র বদলে ছোট একটি অংশ, যাতে গোপন ব্যবসায়িক যুক্তি নেই। আর agent-ধাঁচের টুলকে production database-এর URL বা deploy-এর key দেবেন না; least privilege-এর নীতি AI-এর বেলাতেও খাটে। AI-এর নিজস্ব নিরাপত্তা ঝুঁকি, যেমন prompt injection, নিয়ে বিস্তারিত আছে AI security পর্বে।

লাইসেন্স আর কৃতিত্ব — সতর্ক উত্তর

AI-এর লেখা কোডের মালিকানা আর লাইসেন্স নিয়ে আইন এখনো স্থির নয়, আর দেশভেদে আলাদা। কয়েকটি বিষয় তবু বলা যায়, সতর্কভাবে। এক, open source কোডের নিজস্ব software licence থাকে; কিছু লাইসেন্স কপিরাইট নোটিশ রাখতে বলে, আর GPL-এর মতো কিছু লাইসেন্স সেই কোড থেকে তৈরি কাজও একই শর্তে প্রকাশ করতে বলে। AI যদি কোনো পরিচিত প্রকল্পের কোড প্রায় হুবহু লিখে দেয়, লাইসেন্সের দায় তৈরি হতে পারে। দুই, কিছু টুলে এমন মিল খুঁজে সতর্ক করার বা আটকানোর ব্যবস্থা আছে। তিন, মার্কিন কপিরাইট অফিস ২০২৫ সালের একটি প্রতিবেদনে বলেছে যে শুধু AI-এর তৈরি অংশে কপিরাইট সুরক্ষা পেতে মানুষের সৃজনশীল অবদান লাগে; বাংলাদেশে বা আপনার দেশে নিয়ম কী, তা আইনজ্ঞের কাছ থেকে জানুন। বাস্তব পরামর্শ: প্রতিষ্ঠানের নীতি মানুন, বড় হুবহু অংশ দেখলে উৎস খুঁজুন, আর ক্লায়েন্টের কাজে AI ব্যবহারের নিয়ম চুক্তিতে স্পষ্ট করুন। পেশাগত নৈতিকতার বড় আলোচনা আছে professional ethics পর্বে।

শেখা, না কাজ ছেড়ে দেওয়া

শিক্ষার্থীদের জন্য সবচেয়ে বড় প্রশ্নটি প্রযুক্তিগত নয়। AI দিয়ে একটি অ্যাসাইনমেন্ট দশ মিনিটে শেষ করা যায়, কিন্তু তাতে মাথায় কী থাকল? যে দক্ষতা দিয়ে আপনি AI-এর ভুল ধরবেন, সেই দক্ষতাই তৈরি হয় নিজে ভুল করে, আটকে গিয়ে, error পড়ে। ইন্টারভিউতে বা লিখিত পরীক্ষায় AI থাকে না; থাকে আপনার বোঝা। কয়েকটি অভ্যাস কাজে লাগে:

• আগে নিজে চেষ্টা, অন্তত ২০ মিনিট; তারপর AI-কে সমাধান নয়, ইঙ্গিত চান।
• ব্যাখ্যা চান, উত্তর নয়: “এই error কেন আসছে, সম্ভাব্য তিনটি কারণ বলো; সমাধান লিখবে না।”
• উল্টো দিক থেকে যাচাই: AI-এর ব্যাখ্যা পড়ে নিজের ভাষায় লিখুন, তারপর docs-এর সাথে মেলান।
• AI-কে পরীক্ষক বানান: “React-এর useEffect নিয়ে আমাকে পাঁচটি প্রশ্ন করো, আমার উত্তরের ভুল ধরিয়ে দাও।”
• নিয়মটি জানুন: প্রতিষ্ঠান বা পরীক্ষা AI-এর ব্যবহার নিষেধ করলে সেটি মানা সততার প্রশ্ন।

১০ · AI-এর যুগে: আপনার নিজের কাজের নিয়ম

এই পর্ব নিজেই একটি “AI-এর যুগে” অংশ, তাই এখানে পুরো কোর্সের শিক্ষা একটি prompt আর একটি চেকলিস্টে। প্রথমে কোর্স জুড়ে দেখা AI-এর ভুলের একটি সারাংশ:

AI-এর লেখা কোড merge-এর আগে — চেকলিস্ট

• প্রতিটি API, option আর package আমার version-এর official docs-এ পেয়েছি
• নতুন package থাকলে npm view দেখেছি, বানান মিলিয়েছি, lockfile-এর diff পড়েছি
• tsc --noEmit, lint আর পুরো test নিজে চালিয়েছি, সংখ্যা মিলিয়েছি, কোনো skip নেই
• কোডে অন্তত একটি ভুল ইচ্ছা করে ঢুকিয়ে দেখেছি, কোনো test লাল হয়েছে
• Cookie ছাড়া আর অন্য ব্যবহারকারী দিয়ে অনুরোধ পাঠিয়েছি; ডেটা বদলায়নি
• Network tab-এ উত্তর আর query log-এ SQL-এর সংখ্যা দেখেছি
• Diff-এর প্রতিটি লাইন বুঝেছি; কোনো secret, ক্রেতার তথ্য বা গোপন কোড prompt-এ দিইনি