Дэгээ
Supabase төслийг хамгаалахын тулд API түлхүүрийн удирдлага, мэдээллийн сангийн аюулгүй байдал, хадгалах зөвшөөрөл зэрэгт чиглэсэн олон давхаргат арга барил шаардлагатай. [S1] Буруу тохируулсан мөрийн түвшний аюулгүй байдал (RLS) эсвэл ил гарсан эмзэг түлхүүрүүд нь өгөгдөлд өртөх ноцтой осолд хүргэж болзошгүй. [S2] [S3]
Юу өөрчлөгдсөн
Энэхүү судалгаа нь албан ёсны архитектурын удирдамжид үндэслэн Supabase орчны аюулгүй байдлын үндсэн хяналтуудыг нэгтгэсэн болно. [S1] Энэ нь анхдагч хөгжүүлэлтийн тохиргооноос үйлдвэрлэлд хатуурсан байрлал руу шилжих, ялангуяа хандалтын хяналтын механизмтай холбоотой асуудалд анхаарлаа хандуулдаг. [S2] [S3]
Хэн өртөж байна
Supabase-ийг үйлчилгээ болгон ашигладаг (BaaS) програмууд, ялангуяа хэрэглэгчийн тусгай өгөгдөл эсвэл хувийн өмчтэй харьцдаг програмууд нөлөөлнө. [S2] Үйлчлүүлэгч талын багцад service_role түлхүүрийг оруулсан эсвэл RLS-г идэвхжүүлж чадаагүй хөгжүүлэгчид эрсдэл өндөртэй байна. [S1]
Асуудал хэрхэн ажилладаг
Supabase нь PostgreSQL-ийн Row Level Security-ийг ашиглан өгөгдөлд хандах хандалтыг хязгаарладаг. [S2] Өгөгдмөл байдлаар, хэрэв RLS ширээн дээр идэвхжээгүй бол anon түлхүүртэй аливаа хэрэглэгч (энэ нь ихэвчлэн нийтэд нээлттэй) бүх бичлэгт хандах боломжтой. [S1] Үүний нэгэн адил, Supabase Хадгалалт нь файлын хувин дээр ямар хэрэглэгчид эсвэл ямар үүрэг гүйцэтгэж болохыг тодорхойлох тодорхой бодлогыг шаарддаг. [S3]
Халдлага үйлдэгч юу авдаг вэ
Нийтийн API түлхүүрийг эзэмшдэг халдагчид RLS байхгүй хүснэгтүүдийг ашиглан бусад хэрэглэгчдийн өгөгдлийг унших, өөрчлөх, устгах боломжтой. [S1] [S2] Хадгалах хайрцагт зөвшөөрөлгүй хандах нь хэрэглэгчийн хувийн файлуудыг ил гаргах эсвэл чухал хэрэглэгдэхүүнийг устгахад хүргэдэг. [S3]
FixVibe үүнийг хэрхэн туршиж үздэг
FixVibe одоо үүнийг Supabase шалгалтынхаа нэг хэсэг болгон хамарч байна. baas.supabase-security-checklist-backfill олон нийтийн Supabase Хадгалах хувин мета өгөгдөл, нэргүй объектын жагсаалтын өртөлт, мэдрэмтгий хувин нэршил, олон нийтийн анон хязгаараас анон хязгаарлагдмал хадгалалтын дохиог хянадаг. Холбогдох шууд шалгалтууд нь үйлчилгээний үүргийн гол өртөлт, Supabase REST/RLS байрлал, хадгалах сангийн SQL шилжилт хөдөлгөөнийг байхгүй RLS-г шалгадаг.
Юу засах вэ
Өгөгдлийн сангийн хүснэгтүүд дээр мөрийн түвшний хамгаалалтыг үргэлж идэвхжүүлж, баталгаажуулсан хэрэглэгчдэд зориулсан нарийн бодлого хэрэгжүүлээрэй. [S2] Үйлчлүүлэгчийн кодонд зөвхөн 'anon' түлхүүр ашиглагдаж, 'service_role' түлхүүр сервер дээр хэвээр байгаа эсэхийг шалгаарай. [S1] Хадгалалтын хандалтын хяналтыг тохируулснаар файлын хувинууд нь анхдагчаар хувийн шинж чанартай байх ба хандалтыг зөвхөн тодорхойлсон аюулгүй байдлын бодлогоор олгодог. [S3]