Таблицу в схеме public в Supabase без защиты на уровне строк (row level security) может прочитать и изменить любой, у кого есть ваш anon-ключ, а этот ключ поставляется внутри вашего приложения. Этот навык находит эту и еще восемь ошибок в SQL для Supabase и подсказывает, как исправить каждую из них.

Ваш агент запускает сканер для файлов supabase/migrations и файлов схемы по порядку, так же, как выполняются миграции. RLS, включенная в более поздней миграции, учитывается, переименованные таблицы отслеживаются, а вывод supabase db pull распознается. Сканер читает политики (for, to, using, with check), представления, функции security definer и расширения. Он возвращает BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Ключи никогда не выводятся.

Что проверяется

BLOCK (исправить до выпуска)

• R01: публичная таблица без защиты на уровне строк

• R02: политика insert, update или delete, открытая для anon или public с условием true

• R03: публичное представление без security_invoker, которое обходит RLS

• R04: политика, доверяющая user_metadata, которые пользователи могут редактировать сами

• R05: ключ service_role или sb_secret_, прописанный в SQL

REVIEW (проверить перед релизом)

• R11: политика select, открытая для всех

• R12: политика записи, при которой любой вошедший пользователь может изменить любую строку

• R13: функция security definer, доступная для вызова через API

• R14: расширение, установленное в схеме public

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Справочник правил с причиной и более безопасным подходом для каждого правила

• Рискованные и безопасные примеры миграций, а также реальный отчет сканера по рискованным

Ограничения

Сканер читает SQL-файлы, а не вашу рабочую базу данных, поэтому изменения, сделанные в панели управления, он не видит. Запускайте также Supabase Security Advisor. NOT FLAGGED не является гарантией.

Состав

Один ZIP-файл с 8 файлами: SKILL.md, сканер в scripts/ (2 файла Python), references/rules.md (все правила с причиной и более безопасным подходом) и examples/ (3 файла-примера, а также report.md, реальный вывод сканера для рискованного примера).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами на Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), а затем попросите агента проверить ваш проект. Скрипты также работают самостоятельно с Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: без доступа к сети, никакие данные никуда не отправляются.