FixVibe
Covered by FixVibehigh

Next.js + Supabase: hatar derejesiniň howpsuzlygynyň öňüni almak (RLS) aýlawlar

Next.js we Supabase bilen gurlan programmalar maglumatlary goramak üçin köplenç Row Level Security (RLS) -e bil baglaýarlar. RLS açmazlyk ýa-da Supabase müşderisini nädogry düzmek, rugsatsyz ulanyjylara duýgur ýazgylary okamaga ýa-da üýtgetmäge mümkinçilik berýän maglumatlar bazasynyň doly açylmagyna sebäp bolup biler.

CWE-284

Täsir

Hüjümçiler, Row Level Security (RLS) [S1] dogry ýerine ýetirilmedik ýagdaýynda maglumatlar bazasyndaky ýazgylary okamak, täzelemek ýa-da pozmak üçin programma logikasyndan aýlanyp bilerler. Bu köplenç şahsyýeti anyklaýan maglumatlaryň (PII) ýa-da diňe köpçülige mälim bolmadyk API açaryna girip bilýän ulanyjylara duýgur programma maglumatlarynyň täsirine getirýär.

Kök sebäp

Supabase, [S1] maglumatlary üpjün etmek üçin esas bolan maglumatlar bazasy derejesinde maglumatlara girişi dolandyrmak üçin Postgres Row Level Security ulanýar. Next.js gurşawynda döredijiler Supabase müşderisini döretmeli, [S2] serwer tarapynda görkezilende howpsuzlygy saklamak üçin gutapjyklary we sessiýalary dogry dolandyrýar. Gowşaklyklar adatça ýüze çykýar:

  • Tablisalar RLS açyk bolmazdan döredilýär, olary köpçülige açyk açar [S1] açar arkaly elýeterli edýär.

2.

  • Döredijiler tötänleýin [S1] syýasatlaryndan aýlanyp geçýän müşderi tarap kodunda service_role açaryny tötänleýin ulanýarlar.

Beton düzedişler

1.. 2 .. [S1]. D.

FixVibe munuň üçin nädip synag edýär

FixVibe eýýäm ýerleşdirilen programma we repo barlaglar arkaly muny öz içine alýar. Passiw baas.supabase-rls moduly Supabase URL we birmeňzeş JavaScript bukjalaryndan anon açar jübütleri açýar, PostgREST-den açyk tablisanyň meta-maglumatyny soraýar we müşderiniň maglumatlaryny üýtgetmezden diňe okalýan çäkli maglumatlary saýlaýar. Repo skanerler, şeýle hem ENABLE ROW LEVEL SECURITY bolmazdan köpçülikleýin tablisalary döredýän SQL göçümlerini bellemek üçin repo.supabase.missing-rls işleýär we gizlin skanerler brauzere ýetmänkä hyzmat rolunyň açaryny gözleýär.