Zéro à la production Les 5 coutures entre une démo d'IA et un client payant

Auteur original：Beo Beo

Source originale：https://www.youtube.com/embed/vucl3xYJy0E

Ne jamais modifier à nouveau : https://zonixmotion.online Version Zonix 16-9 : https://zonix169.online Créateur de vidéos de style VOX : https://voxera.work Entreprise à 1 personne : https://synaxos.space Posséder une équipe d'IA : https://eliasagent.store Votre codeur senior : https://eliascode.store - Architecture de production pour Full-Stack AI SaaS Création d'une application AI SaaS sur des plateformes modernes (Supabase, Vercel, et Stripe) nécessite de combler le fossé entre une démo locale et une infrastructure de production résiliente. Bien que l'appel d'un modèle et la diffusion de sa sortie nécessitent un minimum de code, la gestion des performances d'authentification, des délais d'expiration des fonctions, des files d'attente de tâches asynchrones, de l'idempotence des webhooks et de la facturation de l'utilisation basée sur les jetons exige des modèles architecturaux spécifiques. Un examen des mécanismes sous-jacents de la plate-forme révèle pourquoi les configurations passe-partout standard échouent sous le trafic de production et comment renforcer chaque limite opérationnelle. Performances des requêtes de base de données et sécurité au niveau des lignes Les politiques de sécurité au niveau des lignes (RLS) dans PostgreSQL s'exécutent en tant que fonctions évaluées par ligne lors de l'exécution de la requête. Les politiques non optimisées créent une surcharge de latence considérable : • Évaluations de politiques non indexées : l'exécution de fonctions de politique (par exemple, auth.uid() = user_id) sur des colonnes non indexées peut ajouter des centaines de millisecondes par requête à mesure que la taille des tables augmente. L'ajout d'index B-tree aux clés étrangères et aux références utilisateur réduit les temps d'évaluation des requêtes à quelques fractions de milliseconde. • Optimisation du wrapper de sous-requête : l'appel de auth.uid() à nu force Postgres à réévaluer la fonction pour chaque ligne analysée. L'encapsulation des appels d'ID utilisateur dans des sous-requêtes scalaires (par exemple, (SELECT auth.uid()) = user_id) oblige Postgres à résoudre l'identité une fois par plan d'exécution de requête, réduisant ainsi les temps de requête sur plusieurs lignes de plus de 90 %. Limites d'exécution sans serveur et files d'attente asynchrones Les temps d'exécution des modèles et les boucles d'agents multi-étapes entrent souvent en conflit avec les limites de requêtes sans serveur : • Délais d'expiration : les environnements sans serveur appliquent des plafonds d'exécution de fonctions stricts (tels que 300 secondes sur Vercel Hobby ou 800 secondes sur les niveaux Pro/Entreprise). Les réponses en streaming maintiennent les connexions ouvertes, mais elles ne suspendent ni ne prolongent l’horloge d’exécution de la fonction sous-jacente. • Découplage des requêtes du travail de longue durée : les workflows agents de longue durée, tels que l'analyse multidocument ou les boucles de recherche itératives, doivent être déchargés des gestionnaires de requêtes HTTP synchrones. La réponse HTTP doit immédiatement renvoyer un code d'état 2xx après la mise en file d'attente d'une tâche asynchrone (par exemple, via des files d'attente en arrière-plan ou des moteurs de workflow avec état comme Vercel Workflows) qui conserve son état indépendamment des cycles de vie de connexion du navigateur. Vérification, idempotence et mesure de l'utilisation des webhooks La gestion sécurisée des cycles de vie des paiements et des abonnements nécessite de traiter les webhooks entrants comme des événements non vérifiés et dans le désordre : • Vérification de signature avec des charges utiles brutes : les webhooks Stripe signent les charges utiles à l'aide de HMAC SHA-256 sur un horodatage et le corps brut exact de la requête. La vérification des charges utiles JSON analysées ou resérialisées invalide la signature cryptographique. La vérification de la signature doit être exécutée sur les tampons de requêtes brutes dans une fenêtre de tolérance stricte (généralement cinq minutes). • Exécution dans le désordre et livraison en double : il n'est pas garanti que les webhooks arrivent séquentiellement ou exactement une fois. Les points de terminaison doivent enregistrer chaque ID d'événement traité dans une banque de données idempotente, en vérifiant l'exécution préalable avant d'appliquer des mutations (telles que l'approvisionnement de l'accès utilisateur). • Facturation des jetons basée sur l'utilisation : la tarification d'abonnement fixe sur des charges de travail de jetons variables entraîne une érosion de la marge bénéficiaire. La mise en œuvre de modèles de facturation basés sur l'utilisation nécessite de capturer les métadonnées des jetons (entrée, sortie et entrées/sorties mises en cache) directement à partir des proxys LLM, d'acheminer les événements via des jetons de session de courte durée et de suivre la consommation via des flux de mesure dédiés. Que faire ensuite : auditez les points de terminaison de votre webhook Stripe pour la vérification de la signature du corps brut et la journalisation de l'idempotence, puis inspectez vos plans de requête de base de données pour vous assurer que vos politiques de sécurité au niveau des lignes utilisent des index B-tree et l'encapsulation de sous-requêtes scalaires. --- AVERTISSEMENT Cette vidéo est uniquement destinée à des fins éducatives, informatives et de recherche. OpenClaw est un projet open source qui accorde aux agents IA un accès direct aux ressources du système local, aux terminaux, aux canaux de messagerie et aux API externes. L’exécution d’un logiciel d’IA auto-hébergé avec des privilèges élevés comporte des risques de sécurité inhérents, notamment l’exécution potentielle de code à distance, l’injection rapide et l’exposition des informations d’identification. Vérifiez toujours les compétences de la communauté, exécutez des logiciels sensibles dans des environnements isolés (tels que des machines virtuelles dédiées ou des conteneurs Docker), utilisez des informations d'identification jetables et consultez les guides de sécurité officiels avant d'accorder des autorisations au système local. L'auteur n'est pas responsable des incidents de sécurité, des pertes de données ou des compromissions du système résultant de l'utilisation ou du déploiement des outils abordés dans cette vidéo.