Habilidades supabase-patterns

🔐

supabase-patterns

Name: supabase-patterns
Author: Consiliency

Seguro ⚙️ Comandos externos🌐 Acceso a red📁 Acceso al sistema de archivos🔑 Variables de entorno

实现安全的 Supabase 行级安全策略模式

Supabase 项目经常因缺失或不正确的 RLS 策略而存在安全漏洞。此技能提供了经过验证的用户所有权、团队访问、基于角色的安全性以及适当的策略测试模式。

Soporta: Claude Codex Code(CC)

⚠️ 68 Deficiente

Descargar el ZIP de la skill

Subir en Claude

Ve a Configuración → Capacidades → Skills → Subir skill

Activa y empieza a usar

Pruébalo

Usando "supabase-patterns". 为我的 comments 表创建 RLS 策略,使用户只能编辑自己的评论

Resultado esperado:

在 comments 表上启用行级安全性
创建 SELECT 策略,允许用户查看所有评论
创建 INSERT 策略,确保 user_id 与已认证用户匹配
创建 UPDATE 策略,限制只有评论所有者才能编辑
创建 DELETE 策略,允许只有所有者才能删除评论

Usando "supabase-patterns". 为共享文档表设置基于团队的访问

Resultado esperado:

创建辅助函数以获取用户的团队成员资格
创建 SELECT 策略,供团队成员查看团队文档
创建 INSERT 策略,在插入前检查团队成员资格
创建 UPDATE 策略,仅允许团队管理员修改
添加具有幂等策略创建的迁移文件

Auditoría de seguridad

Seguro

v5 • 1/16/2026

This skill is pure documentation containing SQL patterns and TypeScript examples for Supabase development. All 98 static findings are false positives caused by pattern matching against markdown code blocks and SQL keywords. The skill teaches security best practices for Row Level Security.

Archivos escaneados

729

Líneas analizadas

hallazgos

Auditorías totales

Factores de riesgo

⚙️ Comandos externos (53)

🌐 Acceso a red (1)

skill-report.json:6

📁 Acceso al sistema de archivos (1)

skill-report.json:6

🔑 Variables de entorno (4)

SKILL.md:123 SKILL.md:124 SKILL.md:123 SKILL.md:124

Auditado por: claude Ver historial de auditorías →

Puntuación de calidad

Arquitectura

100

Mantenibilidad

Contenido

Comunidad

100

Seguridad

Cumplimiento de la especificación

Lo que puedes crear

为新表添加 RLS

在添加新数据库表时创建安全的 RLS 策略。包括 SELECT、INSERT、UPDATE 和 DELETE 操作的模式。

实现基于团队的访问控制

设置组织和团队级别的访问模式。用户只能看到其团队的数据,并具有适当的管理员权限提升。

审计现有 RLS 策略

根据常见漏洞模式审查和测试现有策略。识别过于宽松或缺失的策略。

Prueba estos prompts

基本用户所有权 RLS

为我的 'documents' 表创建 RLS 策略,使用户只能访问自己的文档。包括 SELECT、INSERT、UPDATE 和 DELETE 策略。

团队访问模式

为 'projects' 表设置 RLS,让团队成员可以查看所有团队项目,但只有团队管理员可以更新或删除它们。

公开和私有内容

为带有 is_public 布尔值的 'posts' 表创建 RLS。公开帖子对所有人可见,私有帖子仅对所有者可见。

完整安全审计

审查我的 Supabase migrations 文件夹,识别缺少 RLS 策略的表。为任何未受保护的表生成策略。

Mejores prácticas

在创建新表后立即启用 RLS,然后再添加任何数据
对 INSERT 和 UPDATE 策略使用 WITH CHECK 来验证新数据,而不仅仅是 USING
使用 SECURITY DEFINER 创建辅助函数以进行复杂的权限检查

Evitar

切勿在客户端代码中使用 service role key,因为它会绕过所有 RLS 策略
避免使用仅检查 auth.uid() IS NOT NULL 而没有特定权限验证的策略
不要直接在生产环境中修改模式。始终使用迁移进行 RLS 更改

Preguntas frecuentes

为什么我的 RLS 策略不起作用?

检查是否使用 ALTER TABLE ENABLE ROW LEVEL SECURITY 启用了 RLS。验证策略名称以及 USING 与 WITH CHECK 对于您的操作类型是否正确。

如何在本地测试 RLS 策略?

使用 SET request.jwt.claims 模拟不同的用户。查询表并验证仅返回预期的行。测试后重置声明。

我应该使用 SECURITY DEFINER 函数吗?

对于查询其他表的复杂权限检查,应该使用。这可以避免递归 RLS 检查。始终在函数内部验证 auth.uid()。

如何处理管理员访问?

创建一个单独的管理员策略,从 profiles 表或 JWT 声明中检查角色。对于基于 JWT 的角色,使用 auth.jwt() ->> 'role' = 'admin'。

USING 和 WITH CHECK 之间有什么区别?

USING 过滤可以访问哪些行。WITH CHECK 验证新的或修改过的行。INSERT 仅使用 WITH CHECK。UPDATE 两者都需要。

RLS 可以被绕过吗?

Service role key 会绕过 RLS。表所有者会绕过,除非设置了 FORCE ROW LEVEL SECURITY。始终为客户端应用程序使用 anon key。

Detalles del desarrollador

Autor

Consiliency

Licencia

MIT

Repositorio

https://github.com/Consiliency/treesitter-chunker/tree/main/.ai-dev-kit/skills/supabase-patterns

Ref.

main

Estructura de archivos

📁 cookbook/

📄 rls-policies.md

📄 SKILL.md