Y bachyn
Mae sicrhau prosiect Supabase yn gofyn am ddull aml-haenog sy'n canolbwyntio ar reoli allwedd API, diogelwch cronfa ddata, a chaniatâd storio. [S1] Gall Diogelwch Lefel Rhes wedi'i ffurfweddu'n amhriodol (RLS) neu allweddi sensitif agored arwain at ddigwyddiadau datguddiad data sylweddol. [S2] [S3]
Beth newidiodd
Mae'r ymchwil hwn yn cydgrynhoi rheolaethau diogelwch craidd ar gyfer amgylcheddau Supabase yn seiliedig ar ganllawiau pensaernïaeth swyddogol. [S1] Mae'n canolbwyntio ar y newid o gyfluniadau datblygu diofyn i ystumiau caledu cynhyrchu, yn benodol o ran mecanweithiau rheoli mynediad. [S2] [S3]
Pwy sy'n cael ei effeithio
Effeithir ar gymwysiadau sy'n defnyddio Supabase fel Backend-as-a-Service (BaaS), yn enwedig y rhai sy'n trin data defnyddiwr-benodol neu asedau preifat. [S2] Mae datblygwyr sy'n cynnwys yr allwedd service_role mewn bwndeli ochr y cleient neu'n methu â galluogi RLS mewn perygl mawr. [S1]
Sut mae'r mater yn gweithio
Mae Supabase yn trosoledd Diogelwch Lefel Rhes PostgreSQL i gyfyngu mynediad data. [S2] Yn ddiofyn, os nad yw RLS wedi'i alluogi ar fwrdd, gall unrhyw ddefnyddiwr sydd â'r allwedd anon - sy'n aml yn gyhoeddus - gyrchu'r holl gofnodion. [S1] Yn yr un modd, mae Storio Supabase yn gofyn am bolisïau penodol i ddiffinio pa ddefnyddwyr neu rolau all gyflawni gweithrediadau ar fwcedi ffeiliau. [S3]
Beth mae ymosodwr yn ei gael
Gall ymosodwr sydd ag allwedd API cyhoeddus fanteisio ar dablau sydd ar goll RLS i ddarllen, addasu, neu ddileu data sy'n perthyn i ddefnyddwyr eraill. [S1] [S2] Gall mynediad anawdurdodedig i fwcedi storio arwain at ddatgelu ffeiliau defnyddwyr preifat neu ddileu asedau cymwysiadau hanfodol. [S3]
Sut mae FixVibe yn ei brofi
Mae FixVibe bellach yn cwmpasu hyn fel rhan o'i wiriadau Supabase. Mae baas.supabase-security-checklist-backfill yn adolygu metadata bwced storio cyhoeddus Supabase, datguddiad rhestru gwrthrychau dienw, enwi bwced sensitif, a signalau Storio dienw o'r ffin gyhoeddus ddienw. Mae gwiriadau byw cysylltiedig yn archwilio datguddiad allweddol swyddogaeth gwasanaeth, ystum Supabase REST/RLS, ac ystorfa mudo SQL ar gyfer RLS coll.
Beth i'w drwsio
Galluogi Diogelwch Lefel Rhes bob amser ar dablau cronfa ddata a gweithredu polisïau gronynnog ar gyfer defnyddwyr dilys. [S2] Sicrhewch mai dim ond yr allwedd 'anon' sy'n cael ei ddefnyddio yn y cod ochr y cleient, tra bod yr allwedd 'service_role' yn aros ar y gweinydd. [S1] Ffurfweddu Rheolaeth Mynediad Storio i sicrhau bod bwcedi ffeiliau yn breifat yn ddiofyn a dim ond trwy bolisïau diogelwch diffiniedig y caniateir mynediad. [S3]