Supabase RLS escáner: fila chimpu jark'aqaña jan utt'ata jan ukax pakitäwinïri tablanak jikxataña

Mä RLS escaneo ankaxat kun chanip qhanañchchaspa

Mä RLS pasivu escaneox Supabase https://[project].supabase.co/rest/v1/ ukan apsuyat PostgREST endpoint ukar saraqi. Sapa anon publicable llawi apnaqi — pachpa llawi navegadormax apnaqki uka — ukat tabla lista metadatonaka, anónimo ullañanaka ukat anónimo qillqañanaka uka sondeapxi. Janipuni mä usuario kunjamatakix autenticakaspati ukat janipuni service-role privilegios llamtkiti. Kunti aka lurañ atki, mä atacante jan autenticada internet ukan lurañ atispa.

Base de datos ankaxat, mä escáner aka qhanañchchaspa wali confianzampi:

• RLS mä tablan deshabilitadawa. PostgREST anónimo SELECT ukatakix filanak kuti RLS jan utt'atäkpan jan ukax mä política ukar mukhpan. Pä caso jikxatäwiwa.
• Anónimo rol tablanak listapxaspa. Anon llawiampi GET /rest/v1/ ukax anon rolan kun privilegio sapa tablan utjki uka OpenAPI esquema kuti. IA generada aplicacionax inaktiyiri esquema ukan USAGE ukat sapa tabla ukar SELECT churapxi, ukax RLS verdadero ullañ niegki ukasti esquema mapa qhana qhanstayañ ukar puriyi.
• Anónimo rol insertayaspa. Mä columna formax conjeturampi POST sondeox éxitoniwa RLS jan mä INSERT política niegki ukax utjkpan — SELECT jist'antañ utjipana.
• Service-role llawix navegador bundle ukan utji. RLS jak'an: mä escáner SUPABASE_SERVICE_ROLE_KEY jan ukax kun JWT role: service_role qillqatani JavaScript bundle ukan jikxati, RLS chanjamawa — kunatix uka llawi katuqki ukax sapa política saltayi.

Mä escaneo externotix kun chanip jan qhanañchchaspa

Honestoñasa escáner limitanakapata. Mä RLS escaneo externotax janit pg_policies tablama, migración archivunakam jan ukax kun política exacto predicado ullkit. Comportamiento caja negra ukat infiri, ukax mä jikxatäwi informaspa kunatix intencional datos público (mä marketing newsletter tabla, mä producto catálogo público) ukäki. FixVibe informa confianza media ukar chimpsutawa escáner intencionada arsxañ jan atkipana — tabla suti uñakipt'añ ukat amuyt'aña.

Pusi RLS pakitäwi formanaka IA yänakax luri

Cursor, Claude Code, Lovable jan ukax Bolt Supabase ukar uñtayatax pachpa pusi RLS pakitäwi formanakax waranqa aplicacionanakan jutapxi. Sapaqatax tipo verificación phasi, compilai ukat apsuyatasi:

Forma 1: RLS janipuniw utt'atakanti

Wali jiläqir pakitäwi forma. Migración tabla luri ukasti desarrollador (jan ukax IA herramienta) armi ALTER TABLE ... ENABLE ROW LEVEL SECURITY. PostgREST anon llawi katuqirir taqi tabla churañaki. Askichäwi: ALTER TABLE public.[name] ENABLE ROW LEVEL SECURITY; ALTER TABLE public.[name] FORCE ROW LEVEL SECURITY;. FORCE jan armkañati — janipana tabla dueño (ukat kun rolax tabla dueñoki) RLS saltayi.

ALTER TABLE public.[name] ENABLE ROW LEVEL SECURITY;
ALTER TABLE public.[name] FORCE  ROW LEVEL SECURITY;

Forma 2: RLS utt'ata, jan política

Juk'amp imantata pakitäwi. RLS utt'atawa ukasti janit kun política qillqkati. PostgreSQL ukan defecto niega, autenticado usuarionakax jan kun ullkapxi — ukasti desarrolladorax USING (true) uchi aplicación irnaqañapataki, ukax taqinir taqi ullañapatak permitiwa. Askichäwi: mä política auth.uid() ukamp ñiq'iyatax qillqaña: CREATE POLICY "select_own" ON public.[name] FOR SELECT USING (auth.uid() = user_id); ukat pachpama INSERT/UPDATE/DELETE política.

CREATE POLICY "select_own"
  ON public.[name]
  FOR SELECT
  USING (auth.uid() = user_id);

Forma 3: Política columnax pachpamp uñtatayi

A copy-paste artefact. The developer writes <code>USING (user_id = user_id)</code> — which is always true — instead of <code>USING (auth.uid() = user_id)</code>. Type-checks pass; the policy permits every row. <strong>Fix:</strong> always compare a column to a function call (<code>auth.uid()</code>, <code>auth.jwt()->>'org_id'</code>, etc.), never to itself or to a constant.

Forma 4: Política SELECT ukan utji ukasti INSERT/UPDATE ukan janiwa

Desarrolladorax ullañ jist'antayi ukasti qillqaña armi. RLS políticanakax sapa comando ukatakiwa. FOR SELECT ullañanak jark'aqaña ukaki; mä cliente anónimo INSERT luraspawa ni mä política jan niegki uka utji. Askichäwi: mä política sapa comando, jan ukax FOR ALL USING ukat WITH CHECK qhana cláusulanakampi apnaqaña.

Kunjam FixVibe Supabase RLS escáner irnaqi

baas.supabase-rls verificación kimsa etapanak luri, sapa qhana confianza nivelampi:

1. Etapa 1 — huella. Escáner apsuyat aplicación arumawi, JavaScript bundle parseyi, ukat Supabase proyecto URL ukat anon llawi runtime configuración ukat apsu. Jan DNS conjetura, jan fuerza bruta — navegador ullki uka ullki.
2. Etapa 2 — esquema descubrimiento. Mä sapa GET /rest/v1/ anon llawiampix OpenAPI esquema sapa tabla anon rolax uñjki uka kuti. Escáner tabla sutinak apkati ukasti aka etapan jan fila datos ullki.
3. Etapa 3 — ullaña ukat qillqaña sondeo. Sapa descubrita tabla, escáner mä anónimo SELECT limit=1 ampi apsu. Filanak kutkañkpax, RLS permisivuwa. Escáner ukan sayt'i — janit filanak enumerkit, janit páginas lurkit, janit datos modifkitti. INSERT sondeonakax verificada dominio dueñacht'a ukat explicito opt-in ukar yatiyatawa; janipuni jan verificada objetivos contra apsutapxiti.

Sapa jikxatäwix exacto petición URL, respuesta estado, respuesta forma (cabecera solo), ukat tabla suti apsuyatawa. Jikxatäwi manqha IA askichäwi promptax mä copy-paste SQL bloque kawkirix Supabase SQL editor ukan apnaqki.

Kun lurañasa escáner kun jikxatkani

Sapa RLS jikxatäwi mä runtime emergencia. Endpoints público PostgREST atacantenakax minutoxat escanepxi. Askichäwi pataka mecánicaki:

1. Sapa tabla auditi. Supabase SQL editor ukan SELECT schemaname, tablename, rowsecurity FROM pg_tables WHERE schemaname = 'public'; apnaqaña. Kun fila rowsecurity = false mä problema.
2. RLS sapa tabla públicon utt'ayaña. Defectux ENABLE ROW LEVEL SECURITY ukat FORCE ROW LEVEL SECURITY sapa luratax tablan — mä migración plantilla luraña.
3. Comando-por-comando políticanaka qillqañani. Janipuni FOR ALL USING (true) apnaqaña. SELECT, INSERT, UPDATE, DELETE qhana políticanaka qillqaña — sapaqatax auth.uid() jan ukax auth.jwt() ukat mä org-id columna ukar ñiq'iyatax.
4. Mä payïr cuenta verifikaña. Mä yaqha usuariot suskrïpyaña, REST API directamente apnaqas yaqha usuarior registro ullañ tantiyaña. Kun respuestax 200 ukäki, política pakitatawa.
5. Wasitat escaneaña. Askichäwi apnaqatax mä FixVibe escaneo pachpa URL ukar wasitat apnaqaña. baas.supabase-rls jikxatäwix qhanawxani.

-- Audit every table for missing RLS. Run in the Supabase SQL editor.
SELECT schemaname, tablename, rowsecurity
FROM   pg_tables
WHERE  schemaname = 'public'
ORDER  BY rowsecurity, tablename;

Kunjamas yaqha escáneres ukamp uñtatayi

Wali jiläqir genérico DAST yänaka (Burp Suite, OWASP ZAP, Nessus) janit PostgREST kunkamasa yatkaspa. Aplicaciónam aruñtapxan, /rest/v1/ ruta jan apnaqkapxan, ukat HTML pages amuykipxki uka informapxan. Snyk ukat Semgrep análisis estática yänakax — repositoriux migración archivu RLS llamtañ jan tilxki ukar jikxatapxi, ukasti janit despliegue base de datos jan walt'ata kun chanip qhanañchchaspa. FixVibe vacíou ukan utji: pasivu, BaaS yatiri, kun mä atacante jan autenticada URL público qhanañchchaspa ukan ñiqiyatawa.

Jichhar jiskt'awinaka

Qhipa lurawinaka

Inaki FixVibe escaneo production URL ukar apnaqaña — baas.supabase-rls verificación sapa plan ukan inaki tier ukamp utt'atawa. Supabase proyecto ankaxat kun jaltaña kawkirix ulla, Supabase service role llawi JavaScript ukan qhanstayata ukat Supabase storage bucket jark'aqaña checklist. BaaS proveedores ukar mä jach'a uñjaña, BaaS jan walt'awi escáner ulla.