हुक
Supabase प्रोजेक्ट को सुरक्षित करने के लिए API कुंजी प्रबंधन, डेटाबेस सुरक्षा और भंडारण अनुमतियों पर ध्यान केंद्रित करने वाले बहुस्तरीय दृष्टिकोण की आवश्यकता होती है। [S1] अनुचित रूप से कॉन्फ़िगर की गई पंक्ति स्तर सुरक्षा (ZXCVFIXVIBTOKEN4ZXCV) या उजागर संवेदनशील कुंजियाँ महत्वपूर्ण डेटा एक्सपोज़र घटनाओं को जन्म दे सकती हैं। [S2] [S3]
क्या बदला
यह शोध आधिकारिक वास्तुकला दिशानिर्देशों के आधार पर Supabase वातावरण के लिए मुख्य सुरक्षा नियंत्रण को समेकित करता है। [S1] यह डिफ़ॉल्ट विकास कॉन्फ़िगरेशन से उत्पादन-कठोर मुद्राओं में संक्रमण पर केंद्रित है, विशेष रूप से पहुंच नियंत्रण तंत्र के संबंध में। [S2] [S3]
कौन प्रभावित है
Supabase को बैकएंड-ए-ए-सर्विस (ZXCVFIXVIBTOKEN5ZXCV) के रूप में उपयोग करने वाले एप्लिकेशन प्रभावित होते हैं, विशेष रूप से वे जो उपयोगकर्ता-विशिष्ट डेटा या निजी संपत्तियों को संभालते हैं। [S2] डेवलपर्स जो क्लाइंट-साइड बंडलों में service_role कुंजी शामिल करते हैं या RLS को सक्षम करने में विफल रहते हैं, वे उच्च जोखिम में हैं। [S1]
मुद्दा कैसे काम करता है
Supabase डेटा पहुंच को प्रतिबंधित करने के लिए PostgreSQL की पंक्ति स्तर सुरक्षा का लाभ उठाता है। [S2] डिफ़ॉल्ट रूप से, यदि RLS किसी टेबल पर सक्षम नहीं है, तो anon कुंजी वाला कोई भी उपयोगकर्ता - जो अक्सर सार्वजनिक होता है - सभी रिकॉर्ड तक पहुंच सकता है। [S1] इसी तरह, Supabase स्टोरेज को यह परिभाषित करने के लिए स्पष्ट नीतियों की आवश्यकता होती है कि कौन से उपयोगकर्ता या भूमिकाएँ फ़ाइल बकेट पर संचालन कर सकती हैं। [S3]
एक हमलावर को क्या मिलता है
सार्वजनिक API कुंजी रखने वाला एक हमलावर अन्य उपयोगकर्ताओं से संबंधित डेटा को पढ़ने, संशोधित करने या हटाने के लिए RLS गायब तालिकाओं का उपयोग कर सकता है। [S1] [S2] स्टोरेज बकेट तक अनधिकृत पहुंच से निजी उपयोगकर्ता फ़ाइलों का प्रदर्शन हो सकता है या महत्वपूर्ण एप्लिकेशन संपत्तियां नष्ट हो सकती हैं। [S3]
FixVibe इसका परीक्षण कैसे करता है
FixVibe अब इसे अपने Supabase चेक के हिस्से के रूप में शामिल करता है। baas.supabase-security-checklist-backfill सार्वजनिक Supabase स्टोरेज बकेट मेटाडेटा, अनाम ऑब्जेक्ट-लिस्टिंग एक्सपोज़र, संवेदनशील बकेट नामकरण और सार्वजनिक एनोन सीमा से एनोन-बाउंड स्टोरेज सिग्नल की समीक्षा करता है। संबंधित लाइव चेक सेवा-भूमिका कुंजी एक्सपोज़र, ZXCVFIXVIBTOKEN4ZXCV REST/ZXCVFIXVIBTOKEN5ZXCV आसन, और लापता ZXCVFIXVIBTOKEN6ZXCV के लिए रिपॉजिटरी SQL माइग्रेशन का निरीक्षण करते हैं।
क्या ठीक करें
डेटाबेस तालिकाओं पर हमेशा पंक्ति स्तरीय सुरक्षा सक्षम करें और प्रमाणित उपयोगकर्ताओं के लिए विस्तृत नीतियां लागू करें। [S2] सुनिश्चित करें कि क्लाइंट-साइड कोड में केवल 'anon' कुंजी का उपयोग किया जाता है, जबकि 'service_role' कुंजी सर्वर पर बनी रहती है। [S1] यह सुनिश्चित करने के लिए स्टोरेज एक्सेस कंट्रोल कॉन्फ़िगर करें कि फ़ाइल बकेट डिफ़ॉल्ट रूप से निजी हैं और एक्सेस केवल परिभाषित सुरक्षा नीतियों के माध्यम से प्रदान की जाती है। [S3]