NEXT_PUBLIC_SUPABASE_SERVICE_ROLE_KEY liefert den Schlüssel, der jede Row-Level-Security-Policy umgeht, an jeden Besucher aus, und "https://*.vercel.app/**" in Ihrer Redirect-Liste erlaubt jedem mit einem Vercel-Konto, die Magic-Link- und OAuth-Weiterleitungen Ihrer Nutzer zu empfangen. Dieser Skill findet diese und die weiteren unten aufgeführten Supabase-Fehler vor dem Deployment und erklärt, wie Sie jeden davon beheben.

Ihr Agent lässt einen Scanner über supabase/config.toml (einschließlich der Branch-Blöcke unter [remotes]), Edge-Function-Code in supabase/functions, JavaScript- und TypeScript-Code für Client und Server (Next.js, SvelteKit, Nuxt, Vite, Astro, Expo), die Expo-Dateien app.json und eas.json, Python-, Dart-, Swift- und Kotlin-Dateien mit Schlüsseln sowie .env-Dateien laufen. Er liest die Rolle in alten JWT-Schlüsseln aus, kennt die neuen Formate sb_publishable_ und sb_secret_, ignoriert die festen öffentlichen Schlüssel des lokalen CLI-Stacks, lässt App-Deep-Links (myapp://**) in Ruhe, behandelt env()- und encrypted:-Werte als Referenzen und bewertet Registrierungs- und Passworteinstellungen nur, wenn config.toml ein bereitgestelltes Projekt konfiguriert, sodass die von supabase init erzeugte Datei nicht markiert wird. Er führt nie Code aus und verbindet sich nie mit Supabase. Das Ergebnis lautet BLOCK, REVIEW oder NOT FLAGGED, jeweils mit Datei, Zeile, Begründung und einem sichereren Ansatz. Secrets werden nie ausgegeben.

Was geprüft wird

BLOCK (vor der Auslieferung beheben)

• U01: der service_role- oder Secret-Key in einer öffentlichen Variable (NEXT_PUBLIC_, VITE_, EXPO_PUBLIC_, PUBLIC_ und weitere, auch in eas.json), eine öffentliche Variable mit einem Service-Key oder ein Service-Key unter Nuxt runtimeConfig.public, Expo extra (app.config oder app.json), Next.js env oder Vite define
• U02: ein service_role-JWT oder sb_secret_-Key, der im Code, in app.json, eas.json oder einer eingecheckten env-Vorlage steht
• U03: Secrets für OAuth, SMTP, SMS, CAPTCHA, Auth-Hooks, Studio, S3, Edge Runtime oder Vault, die direkt in config.toml statt über env() stehen
• U04: Redirect-URLs, deren Wildcards fremde Websites akzeptieren (** im Host, einschließlich des Netlify-Preview-Musters aus der Dokumentation, *.com, *.vercel.app, *-*.vercel.app, *.netlify.app, *.pages.dev und andere geteilte Hosts)

REVIEW (vor dem Release prüfen)

• U11: Edge Functions mit deaktivierter JWT-Prüfung (verify_jwt = false, --no-verify-jwt, withSupabase auth 'none' oder 'publishable'), die den Service-Key verwenden und den Aufrufer nie prüfen (Nutzer-JWT, Secret-Key, Webhook-Signatur oder geheimer Header)
• U12: E-Mail-Registrierung ohne E-Mail-Bestätigung in einem bereitgestellten Projekt
• U13: eine Mindestpasswortlänge unter 8 in einem bereitgestellten Projekt
• U14: anonyme Anmeldungen ohne CAPTCHA in einem bereitgestellten Projekt
• U15: JWT-Ablaufzeit über einer Stunde, deaktivierte Refresh-Token-Rotation, Bestätigung von E-Mail-Änderungen nur über eine Adresse oder übersprungene Nonce-Prüfung in einem bereitgestellten Projekt
• U16: Site- oder Redirect-URLs mit einfachem http:// für nicht lokale Hosts
• U17: öffentliche Storage-Buckets, in config.toml oder im Code angelegt, es sei denn, die Wörter im Namen kennzeichnen öffentliche Inhalte wie avatars oder profile-pictures
• U18: getSession(), dem im Servercode (Middleware, Proxy, Route Handler, Server Components und Actions) ohne getClaims() oder getUser() vertraut wird

Was enthalten ist

• Der Scanner (Python 3.9+, nur Standardbibliothek)
• Ein Regelleitfaden mit Begründung, sichererem Ansatz und offizieller Quelle von Supabase für jede Regel
• Ein riskantes und ein sicheres Beispielprojekt (config.toml, eine Edge Function, eine Next.js-Middleware, ein Seed-Skript und eine env-Vorlage) sowie der echte Bericht, den der Scanner für das riskante Projekt erstellt

Grenzen

Er liest Dateien so, wie sie geschrieben sind: Einstellungen, die nur im Supabase-Dashboard geändert wurden, Row-Level-Security-Policies und SQL-Migrationen sowie mit supabase secrets set gesetzte Secrets kennt er nicht. Die Aufruferprüfung einer Edge Function wird in derselben Datei gesucht, und U11 benötigt den Projektordner mit config.toml oder dem Deploy-Skript. Ob etwas im Browser sichtbar wird, wird anhand der Variablenpräfixe und der Einstellungen für Nuxt, Expo, Next.js env und Vite define beurteilt, nicht durch Verfolgen von Importen. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 19 Dateien: SKILL.md, der Scanner in scripts/ (8 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Ansatz) und examples/ (10 Beispieldateien plus report.md, die echte Scanner-Ausgabe für das riskante Beispiel).

So verwenden Sie es: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten dann, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne dass etwas installiert werden muss. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, und nichts wird irgendwohin gesendet.