mcpField
S
supabase-help

supabase-help

github.com/yoanbernabeu安全71511 次安装39 周前更新
代码仓库

关于 supabase-help

汇总 24 个 Supabase 安全审计技能及其命令的参考指南，涵盖检测、API、存储、身份验证、Realtime 和报告，并提供工作流示例。

主要功能

  1. 01汇总 24 个审计技能
  2. 02按审计领域分类
  3. 03提供命令与用法示例
  4. 04列出常见审计工作流
  5. 05说明生成的文件与证据

适用场景

  1. 01查找适用于特定 Supabase 安全检查的技能
  2. 02选择快速检查或完整审计的步骤
  3. 03了解审计使用的命令和文件

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/yoanbernabeu/supabase-pentest-skills --skill supabase-help

安装后在 Claude Code 中输入/supabase-help确认已加载。

详细介绍

Supabase Pentest 技能帮助

全部 24 项安全审计技能的快速参考。

使用此技能的时机

  • 需要快速了解可用技能
  • 为特定任务寻找合适的技能
  • 想查看特定技能的用法示例

快速开始

# Full guided audit
/supabase-pentest https://myapp.example.com

# Check if app uses Supabase
/supabase-detect https://myapp.example.com

# Generate report from previous audit
/supabase-report

全部技能参考

编排
技能命令用途
supabase-pentest/supabase-pentest <url>完整的引导式安全审计
supabase-evidence/supabase-evidence初始化证据收集
supabase-help/supabase-help此帮助参考
检测
技能命令用途
supabase-detect/supabase-detect <url>检测 Supabase 的使用情况
提取
技能命令用途
supabase-extract-url/supabase-extract-url <url>查找 Supabase 项目 URL
supabase-extract-anon-key/supabase-extract-anon-key提取 anon API 密钥
supabase-extract-service-key/supabase-extract-service-key查找泄露的 service 密钥
supabase-extract-jwt/supabase-extract-jwt从代码中提取 JWT
supabase-extract-db-string/supabase-extract-db-string查找 DB 连接字符串
API 审计
技能命令用途
supabase-audit-tables-list/supabase-audit-tables-list列出暴露的表
supabase-audit-tables-read/supabase-audit-tables-read读取表数据
supabase-audit-rls/supabase-audit-rls测试 RLS 策略
supabase-audit-rpc/supabase-audit-rpc测试 RPC 函数
存储审计
技能命令用途
supabase-audit-buckets-list/supabase-audit-buckets-list列出存储桶
supabase-audit-buckets-read/supabase-audit-buckets-read读取存储桶文件
supabase-audit-buckets-public/supabase-audit-buckets-public查找公开存储桶
身份验证审计
技能命令用途
supabase-audit-auth-config/supabase-audit-auth-config检查身份验证设置
supabase-audit-auth-signup/supabase-audit-auth-signup测试注册权限
supabase-audit-auth-users/supabase-audit-auth-users测试用户枚举
supabase-audit-authenticated/supabase-audit-authenticated创建测试用户以检测 IDOR
Realtime 与函数
技能命令用途
supabase-audit-realtime/supabase-audit-realtime测试 Realtime 通道
supabase-audit-functions/supabase-audit-functions测试 Edge Functions
报告
技能命令用途
supabase-report/supabase-report生成 Markdown 报告
supabase-report-compare/supabase-report-compare <old> <new>比较两份报告

严重性级别

级别颜色描述
P0🔴严重：数据暴露、用户数据、权限提升
P1🟠高：敏感数据、安全配置错误
P2🟡中：轻微暴露、违反最佳实践

常见工作流

快速安全检查
1. /supabase-detect https://myapp.com
2. /supabase-extract-anon-key
3. /supabase-audit-rls
4. /supabase-report
完整审计
1. /supabase-pentest https://myapp.com
   (Follow guided prompts through all phases)
仅存储审计
1. /supabase-detect https://myapp.com
2. /supabase-audit-buckets-list
3. /supabase-audit-buckets-public
4. /supabase-report
修复后比较
1. Copy previous report to reports/audit-v1.md
2. Run new audit: /supabase-pentest https://myapp.com
3. /supabase-report-compare reports/audit-v1.md supabase-audit-report.md

创建的文件和目录

文件/目录描述
.sb-pentest-context.json技能之间共享的上下文
.sb-pentest-audit.log带时间戳的操作日志
.sb-pentest-evidence/专业审计的证据目录
supabase-audit-report.md最终安全报告
证据目录结构
.sb-pentest-evidence/
├── README.md                 # Evidence index
├── curl-commands.sh          # Reproducible commands
├── timeline.md               # Chronological findings
├── 01-detection/             # Detection evidence
├── 02-extraction/            # Key extraction evidence
├── 03-api-audit/             # API audit evidence
├── 04-storage-audit/         # Storage audit evidence
├── 05-auth-audit/            # Auth audit evidence
├── 06-realtime-audit/        # Realtime audit evidence
├── 07-functions-audit/       # Functions audit evidence
└── screenshots/              # Optional screenshots

提示

  1. 始终先运行检测 — 大多数技能会自动调用检测，但显式运行更快
  2. 检查上下文文件 — 如果技能行为异常，上下文可能包含过时数据
  3. 使用协调器进行完整审计 — 它会自动处理依赖项
  4. 为报告添加日期 — 将 supabase-audit-report.md 重命名并加入日期，以便留存历史记录

需要更多帮助？

  • 每项技能都有详细文档 — 运行 /supabase-<skill-name> 查看具体说明
  • 查看仓库根目录下的 README
  • 如需报告 Bug 或提出功能请求，请在 GitHub 上提交 issue

评论

支持 Markdown