E-commerce Storefront — Supply-Chain RAT Caught

• Что это: e-commerce витрина на базе Vercel Commerce (мультипровайдерная headless-коммерция: bigcommerce/shopify/saleor/swell/vendure/local). Форк глубоко кастомизирован под конкретный магазин: русская локализация, переработанный чекаут (в стиле Dodo — две колонки, самовывоз по филиалам, способы оплаты), слайдер и категории на главной, SEO-редиректы, CRM-скрипты, деплой (PM2/nginx).
• Тип / статус / роль: web-app (витрина магазина) / active / contributor (форк: апстрим — Vercel/Luis Alvarez/Belen ~850 коммитов; пользователь Davron+варианты — ~802 коммита кастомизации; также shahaa/Shahzod ~212).
• Активный период: история начинается 2020-09-21 (апстрим Vercel) → 2026-05-26; активная кастомизация — 2025-2026.

• Vercel Commerce (Next.js Commerce): провайдеры в framework/ (по codegen активен bigcommerce), GraphQL + codegen (codegen.json, codegen.bigcommerce.json), commerce.config.json.
• Next.js (app/ — App Router; components + components_new — переписывание), Tailwind, i18n (i18n/, messages/, locales/ — ru/...), next-intl.
• Инфраструктура: deploy.sh, nginx.conf, ecosystem.config.js (PM2), Bun (bun.lockb).
• Интеграции: crm-scripts/, кастомный backend API (магазин UZ: филиалы/самовывоз/оплата).
• AI: .claude/, .superpowers/ (superpowers skills), CLAUDE.md, SEO-TASKS.md.

Кастомизация апстрима (conventional commits):

• Редизайн чекаута: две колонки в стиле Dodo, липкий блок с итогом заказа (карточка), grid самовывоза 3 колонки, способы оплаты 4 колонки, группировка позиций заказа, фиксы для фиксированного хедера (6f735b96, d261cd18, 43df713e…).
• Главная: объединение слайдера и липкой навигации по категориям в «капсулу», нативное соотношение сторон слайда (фиксы вёрстки через обычный CSS, поскольку в Tailwind 2 нет произвольного aspect-ratio) (feeb7751, ebb0d72a, 35d3bc5c).
• SEO: редирект /ru[/*] → канонический URL без префикса (фикс 404 по аудиту) (11cc5633), SEO-TASKS.md.
• i18n: русская локализация витрины.
• Безопасность: 2e06e1cc security: remove malicious postinstall hook (supply-chain RAT dropping /tmp/.sshd via parikhpreyash4/gvfsd-network) — обнаружен и удалён вредоносный postinstall-хук (supply-chain RAT в npm).
• Объём: всего 2175 коммитов (с апстримом), ~802 от пользователя.

• Перехват атаки на цепочку поставок (2e06e1cc): обнаружен и удалён вредоносный хук postinstall у зависимости (parikhpreyash4/gvfsd-network), который сбрасывал RAT в /tmp/.sshd. → реальная безопасность на практике (аудит зависимостей, реакция на supply-chain-угрозу) — самый сильный и редкий сигнал для бренда.
• Кастомизация headless-коммерции под локальный рынок: самовывоз по филиалам, локальные платёжные системы, ru-i18n поверх англоязычного Vercel Commerce. → адаптация западного стартер-кита под реалии UZ.
• Вёрстка под ограничениями легаси-стека (35d3bc5c, 3a01f516): выяснилось, что components.css не импортировался в app/layout.tsx (правило вообще не доходило до браузера); обошли отсутствие произвольного aspect-ratio в Tailwind 2 через обычный CSS. → дебаг реальных багов CSS-пайплайна.
• SEO-гигиена: канонизация URL с локалью, устранение 404 по аудиту.

• Найдено сессий: 77 .jsonl. .superpowers/ (superpowers skills), .claude/.
• Что делалось с AI: итерации по чекауту/вёрстке/SEO, вероятно аудит зависимостей. Активный AI-ассист для кастомизации.
• Паттерн: Claude Code + superpowers skills; задачи через SEO-TASKS.md.

• Реальный продакшн-магазин на Vercel Commerce, глубоко кастомизированный (~802 коммита).
• Перехват supply-chain RAT (безопасность).
• ru-локализация, редизайн чекаута, SEO.