Eine Tabelle im public-Schema von Supabase ohne Row Level Security kann jeder lesen und ändern, der deinen anon-Schlüssel hat, und dieser Schlüssel wird mit deiner App ausgeliefert. Dieser Skill findet dieses und acht weitere Supabase-SQL-Probleme und zeigt dir, wie du jedes davon behebst.

Dein Agent führt einen Scanner über deine supabase/migrations- und Schema-Dateien aus, der Reihe nach, so wie Migrationen ausgeführt werden. In einer späteren Migration aktiviertes RLS wird berücksichtigt, umbenannte Tabellen werden verfolgt und die Ausgabe von supabase db pull wird verstanden. Er liest Policies (for, to, using, with check), Views, security-definer-Funktionen und Extensions. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einem sichereren Vorgehen. Schlüssel werden nie ausgegeben.

Was geprüft wird

BLOCK (vor der Auslieferung beheben)

• R01: eine öffentliche Tabelle ohne Row Level Security

• R02: eine insert-, update- oder delete-Policy, die mit true für anon oder public offen ist

• R03: eine öffentliche View ohne security_invoker, die RLS umgeht

• R04: eine Policy, die user_metadata vertraut, das Nutzer selbst bearbeiten können

• R05: ein service_role- oder sb_secret_-Schlüssel, der in SQL steht

REVIEW (vor dem Release prüfen)

• R11: eine select-Policy, die für alle offen ist

• R12: eine Schreib-Policy, bei der jeder angemeldete Nutzer jede Zeile ändern kann

• R13: eine security-definer-Funktion, die über die API aufrufbar ist

• R14: eine im public-Schema installierte Extension

Was enthalten ist

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelleitfaden mit Begründung und sichererem Vorgehen für jede Regel

• Riskante und sichere Beispielmigrationen sowie der echte Bericht, den der Scanner für die riskanten erstellt

Grenzen

Er liest SQL-Dateien, nicht deine Live-Datenbank, daher werden im Dashboard vorgenommene Änderungen nicht erkannt. Führe zusätzlich den Supabase Security Advisor aus. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 8 Dateien: SKILL.md, der Scanner in scripts/ (2 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) und examples/ (3 Beispieldateien plus report.md, die echte Scanner-Ausgabe für das riskante Beispiel).

So verwendest du es: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacke ihn in den Skills-Ordner deines Agenten (für Claude Code: ~/.claude/skills/) und bitte deinen Agenten dann, dein Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne dass etwas installiert werden muss. Sie lesen nur deine Dateien: kein Netzwerkzugriff, und nichts wird irgendwohin gesendet.