// docs / baas security
Keamanan BaaS
Platform Backend-as-a-Service — Supabase, Firebase, Clerk, Auth0 — menangani bagian aplikasi yang paling jarang disentuh secara hati-hati oleh AI coding tools: row-level security, aturan storage, konfigurasi identity provider, dan key mana yang dikirim ke browser. Bagian ini adalah pustaka artikel yang terfokus tentang seperti apa miskonfigurasi tersebut sebenarnya di produksi serta cara menemukan dan memperbaikinya. Setiap artikel diakhiri dengan scan satu klik untuk deployment Anda sendiri.
// scanner rls supabase
Scanner RLS Supabase: temukan tabel dengan row-level security yang hilang atau rusak
Apa yang dapat dibuktikan oleh scan RLS pasif dari luar database, empat bentuk RLS rusak yang dihasilkan AI coding tools secara default, cara kerja check
baas.supabase-rlsFixVibe, dan SQL persis untuk diterapkan setelah policy yang hilang ditemukan.Scan aplikasi Anda untuk RLS yang hilang →
// eksposur service role key
Supabase service role key terekspos di JavaScript
Apa itu service role key, mengapa ia tidak boleh berada di browser, dan tiga cara AI coding tools secara tidak sengaja mengirimkannya ke produksi. Termasuk bentuk JWT yang mengidentifikasi key yang bocor, runbook respons segera, dan cara scan bundle FixVibe menangkapnya.
Periksa apakah secret terkirim di bundle Anda →
// pengerasan storage
Checklist keamanan bucket storage Supabase
Checklist 22-item terfokus untuk mengeraskan Supabase Storage — visibilitas bucket, policy RLS pada tabel
objects, validasi tipe MIME, penanganan signed URL, langkah anti-enumerasi, dan kebersihan operasional. Setiap item adalah satu item yang dapat Anda selesaikan dalam 5-15 menit.Scan bucket publik dan storage yang dapat di-list anonim →
// scanner aturan firebase
Scanner aturan Firebase: temukan aturan Firestore, Realtime Database, dan Storage yang terbuka
Bagaimana scanner aturan Firebase bekerja dari luar, pola mode test yang dihasilkan AI tools, tiga layanan Firebase yang masing-masing memerlukan audit aturannya sendiri (Firestore, Realtime Database, Storage), dan apa yang dapat dibuktikan scan tanpa kredensial.
Periksa aturan read/write yang terbuka →
// penjelasan sintaks aturan
Firebase allow read, write: if true dijelaskan
Apa yang sebenarnya dilakukan aturan
allow read, write: if true;, mengapa Firebase mengirimkannya sebagai default mode test, perilaku persis yang dilihat penyerang, dan empat cara untuk menggantinya dengan aturan yang aman untuk produksi. Termasuk query audit salin-tempel dan rencana remediasi lima langkah.Scan URL produksi Anda →
// pengerasan clerk
Checklist keamanan Clerk
Checklist 20-item untuk mengeraskan integrasi Clerk — kebersihan key environment, pengaturan sesi, verifikasi webhook, izin organisasi, pembatasan template JWT, dan pemantauan operasional. Item pra-peluncuran dan berkelanjutan dikelompokkan berdasarkan area.
Periksa miskonfigurasi auth/sesi →
// pengerasan auth0
Checklist keamanan Auth0
Audit Auth0 22-item yang mencakup tipe aplikasi dan grant, allowlist URL callback / logout, rotasi refresh token, keamanan custom action, RBAC dan resource server, deteksi anomali, dan pemantauan log tenant. Menangkap item yang secara konsisten dilewatkan aplikasi SaaS yang dihasilkan AI.
Periksa eksposur identity provider →
// scanner payung
Scanner miskonfigurasi BaaS: temukan jalur data publik lintas Supabase, Firebase, Clerk, dan Auth0
Mengapa penyedia BaaS gagal keamanan dalam bentuk yang sama, lima kelas miskonfigurasi yang setiap aplikasi berbasis BaaS perlu audit, bagaimana scan BaaS payung FixVibe bekerja lintas keempat penyedia, perbandingan berdampingan tentang apa yang dapat dibuktikan setiap scanner, dan perbandingan jujur dengan Burp, ZAP, dan tool SAST.
Temukan jalur data publik sebelum user →
Yang akan datang berikutnya
Lebih banyak artikel berfokus BaaS mendarat di sini seiring scan engine FixVibe memperluas cakupannya. Changelog scan engine mencatat setiap deteksi baru — berlangganan untuk catatan berjalan tentang apa yang dapat dibuktikan FixVibe dari luar.