// docs / baas security
BaaS 安全
后端即服务平台 — Supabase、Firebase、Clerk、Auth0 — 处理 AI 编码工具最不严谨的部分:行级安全、存储规则、身份提供商配置以及哪些密钥会发送到浏览器。本章节是一个聚焦的文章库,涵盖这些配置错误在生产环境中实际呈现的样子,以及如何发现和修复它们。每篇文章都以对你自己部署的一键扫描结束。
// supabase rls 扫描器
Supabase RLS 扫描器:发现缺失或损坏的行级安全表
What a passive RLS scan can prove from outside the database, the four shapes of broken RLS that AI coding tools generate by default, how FixVibe's Supabase check works, and the exact SQL to apply once a missing policy is found.
扫描应用中缺失的 RLS →
// 服务角色密钥暴露
暴露在 JavaScript 中的 Supabase 服务角色密钥
服务角色密钥是什么、为何它绝不能存在于浏览器中,以及 AI 编码工具意外将其发布到生产环境的三种方式。包含标识泄露密钥的 JWT 形状、即时响应运行手册,以及 FixVibe 包扫描如何捕获它。
检查包中是否发布了机密 →
// 存储加固
Supabase 存储桶安全清单
用于加固 Supabase Storage 的 22 项专题清单 — 桶可见性、
objects表上的 RLS 策略、MIME 类型验证、签名 URL 处理、防枚举措施和运营卫生。每一项都可在 5-15 分钟内完成。扫描公共桶和匿名可列出的存储 →
// firebase 规则扫描器
Firebase 规则扫描器:发现开放的 Firestore、Realtime Database 和 Storage 规则
Firebase 规则扫描器从外部如何工作、AI 工具生成的测试模式模式、每项都需要单独规则审计的三个 Firebase 服务 (Firestore、Realtime Database、Storage),以及无凭据扫描可以证明什么。
检查开放的读/写规则 →
// 规则语法解释
Firebase allow read, write: if true 解释
allow read, write: if true;规则实际做什么,Firebase 为何将其作为测试模式默认值,攻击者看到的确切行为,以及用生产安全规则替换它的四种方式。包括一个可复制粘贴的审计查询和一个五步修复计划。扫描你的生产 URL →
// clerk 加固
Clerk 安全清单
用于加固 Clerk 集成的 20 项清单 — 环境密钥卫生、会话设置、webhook 验证、组织权限、JWT 模板范围限定和运营监控。按领域分组的预发布和持续项目。
检查身份验证 / 会话配置错误 →
// auth0 加固
Auth0 安全清单
涵盖应用程序类型和授权、回调 / 注销 URL 允许列表、刷新令牌轮换、自定义动作安全、RBAC 和资源服务器、异常检测和租户日志监控的 22 项 Auth0 审计。捕获 AI 生成的 SaaS 应用一致遗漏的项目。
检查身份提供商暴露 →
// 总览扫描器
BaaS 配置错误扫描器:在 Supabase、Firebase、Clerk 和 Auth0 上发现公共数据路径
BaaS 提供商为何以相同形态失败,每个 BaaS 支持的应用都需要审计的五个配置错误类别,FixVibe 总览 BaaS 扫描如何跨所有四个提供商工作,每个扫描器能证明什么的并列比较,以及与 Burp、ZAP 和 SAST 工具的诚实比较。
在用户之前找到公共数据路径 →