Koukku
Supabase-projektin suojaaminen vaatii monitasoista lähestymistapaa, joka keskittyy API-avainten hallintaan, tietokannan suojaukseen ja tallennusoikeuksiin. [S1] Virheellisesti määritetty rivitason suojaus (RLS) tai paljastuneet arkaluontoiset avaimet voivat johtaa merkittäviin tietojen altistumiseen. [S2] [S3]
Mikä muuttui
Tämä tutkimus konsolidoi Supabase-ympäristöjen ydinturvallisuuden valvontaa virallisten arkkitehtuuriohjeiden perusteella. [S1] Se keskittyy siirtymiseen oletuskehityskonfiguraatioista tuotantokarkaistuihin asentoihin, erityisesti kulunvalvontamekanismeihin liittyen. [S2] [S3]
Ketä se koskee
Tämä vaikuttaa sovelluksiin, jotka käyttävät Supabase:tä taustapalveluna (BaaS), erityisesti ne, jotka käsittelevät käyttäjäkohtaisia tietoja tai yksityisiä resursseja. [S2] Kehittäjät, jotka sisällyttävät service_role-avaimen asiakaspuolen paketteihin tai eivät ota RLS:tä käyttöön, ovat suuressa vaarassa. [S1]
Kuinka ongelma toimii
Supabase hyödyntää PostgreSQL:n rivitason suojausta rajoittaakseen tietojen käyttöä. [S2] Oletuksena, jos RLS ei ole käytössä taulukossa, kuka tahansa käyttäjä, jolla on anon-avain – joka on usein julkinen – voi käyttää kaikkia tietueita. [S1] Vastaavasti Supabase-tallennus vaatii nimenomaisia käytäntöjä määrittääkseen, mitkä käyttäjät tai roolit voivat suorittaa toimintoja tiedostoryhmille. [S3]
Mitä hyökkääjä saa
Hyökkääjä, jolla on julkinen API-avain, voi hyödyntää RLS puuttuvia taulukoita lukeakseen, muokatakseen tai poistaakseen muille käyttäjille kuuluvia tietoja. [S1] [S2] Luvaton pääsy tallennussäilöihin voi johtaa yksityisten käyttäjätiedostojen paljastamiseen tai kriittisten sovellusresurssien poistamiseen. [S3]
Kuinka FixVibe testaa sitä
FixVibe kattaa tämän nyt osana Supabase-tarkistuksia. baas.supabase-security-checklist-backfill tarkastelee julkisia Supabase Tallennuslokeron metatiedot, anonyymit objektiluetteloiden altistuminen, herkät ryhmien nimeämiset ja anon-sidottu tallennussignaalit julkisen anonin rajalta. Aiheeseen liittyvät reaaliaikaiset tarkistukset tarkastavat palveluroolin avaimen näkyvyyden, Supabase REST/RLS-asennon ja tietovaraston SQL-siirrot puuttuvien RLS-koodien varalta.
Mitä korjata
Ota aina rivitason suojaus käyttöön tietokantataulukoissa ja ota käyttöön tarkkoja käytäntöjä todennetuille käyttäjille. [S2] Varmista, että asiakaspuolen koodissa käytetään vain "anon"-avainta, kun taas "service_role"-avain jää palvelimelle. [S1] Määritä tallennustilan käyttöoikeuksien valvonta varmistaaksesi, että tiedostoryhmät ovat oletuksena yksityisiä ja että käyttöoikeus myönnetään vain määritettyjen suojauskäytäntöjen kautta. [S3]