// docs / baas security
BaaS 安全
後端即服務平臺 — Supabase、Firebase、Clerk、Auth0 — 處理 AI 編碼工具最不謹慎的部分:資料列層級安全、儲存規則、身分提供者設定,以及哪些金鑰會傳送到瀏覽器。本章節是一個聚焦的文章庫,涵蓋這些設定錯誤在生產環境中實際呈現的樣貌,以及如何發現並修復它們。每篇文章皆以對你自己部署的一鍵掃描作結。
// supabase rls 掃描器
Supabase RLS 掃描器:找出缺少或損毀的資料列層級安全表
What a passive RLS scan can prove from outside the database, the four shapes of broken RLS that AI coding tools generate by default, how FixVibe's Supabase check works, and the exact SQL to apply once a missing policy is found.
掃描應用程式中缺少的 RLS →
// 服務角色金鑰暴露
暴露在 JavaScript 中的 Supabase 服務角色金鑰
服務角色金鑰是什麼、為何它絕不能存在於瀏覽器中,以及 AI 編碼工具意外將其發布到生產環境的三種方式。包含辨識洩漏金鑰的 JWT 形狀、即時應變手冊,以及 FixVibe 套件掃描如何捕捉它。
檢查套件中是否洩漏機密 →
// 儲存強化
Supabase 儲存桶安全清單
用於強化 Supabase Storage 的 22 項聚焦清單 — 儲存桶可見性、
objects資料表上的 RLS 策略、MIME 類型驗證、簽署 URL 處理、防列舉措施與營運衛生。每一項都可在 5-15 分鐘內完成。掃描公開儲存桶與匿名可列出的儲存 →
// firebase 規則掃描器
Firebase 規則掃描器:找出開放的 Firestore、Realtime Database 與 Storage 規則
Firebase 規則掃描器從外部如何運作、AI 工具產生的測試模式樣式、各自需要獨立規則稽核的三項 Firebase 服務 (Firestore、Realtime Database、Storage),以及無憑證掃描可以證明什麼。
檢查開放的讀/寫規則 →
// 規則語法解析
Firebase allow read, write: if true 解析
allow read, write: if true;規則實際做什麼、Firebase 為何將其作為測試模式預設值、攻擊者看到的確切行為,以及以生產安全規則替換它的四種方式。包含可複製貼上的稽核查詢與五步修復計畫。掃描你的生產 URL →
// clerk 強化
Clerk 安全清單
用於強化 Clerk 整合的 20 項清單 — 環境金鑰衛生、工作階段設定、webhook 驗證、組織權限、JWT 範本範圍限定,以及營運監控。依領域分組的上線前與持續性項目。
檢查驗證 / 工作階段設定錯誤 →
// auth0 強化
Auth0 安全清單
涵蓋應用程式類型與授權、回呼 / 登出 URL 允許清單、刷新權杖輪換、自訂動作安全、RBAC 與資源伺服器、異常偵測,以及租戶日誌監控的 22 項 Auth0 稽核。捕捉 AI 生成的 SaaS 應用程式一致遺漏的項目。
檢查身分提供者暴露 →
// 總覽掃描器
BaaS 設定錯誤掃描器:在 Supabase、Firebase、Clerk 與 Auth0 上找出公開資料路徑
BaaS 提供者為何以相同形態失敗、每個以 BaaS 為基礎的應用程式都需要稽核的五個設定錯誤類別、FixVibe 總覽 BaaS 掃描如何跨所有四個提供者運作、每個掃描器能證明什麼的並列比較,以及與 Burp、ZAP 和 SAST 工具的誠實比較。
在使用者之前找出公開資料路徑 →