技能 supabase-patterns
📦

supabase-patterns

內容修訂 r1 高風險 ⚙️ 外部命令🔑 環境變數

建構安全的 Supabase 模式

當 RLS、storage 和 realtime 規則套用不一致時，Supabase 專案就容易失敗。這項 skill 提供可重複使用的模式，用於更安全的 schema、client 和 migration。

支援: Claude Codex Code(CC)
Maintain this Skill? Claim it ⚠️ 38 差

使用我的智慧代理安裝

將此請求複製給你的智慧代理，其中包含權威 Skill 頁面和清單。

智能體請求
Review the Skillstore skill "supabase-patterns" from https://skillstore.io/skills/consiliency-supabase-patterns.md and its manifest at https://skillstore.io/api/skills/consiliency-supabase-patterns/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

你的智慧代理仍應顯示其計畫，並依安全政策請求必要確認。

Agent 可讀資源

當 AI Agent、爬蟲或腳本需要乾淨脈絡、而不是讀取完整頁面時，請使用這些連結。

Markdown 詳情 GET /skills/consiliency-supabase-patterns.md 已簽名 manifest GET /api/skills/consiliency-supabase-patterns/manifest 已簽名 lockfile GET /api/skills/consiliency-supabase-patterns/lockfile

測試它

正在使用「supabase-patterns」。 要求為 posts 新增 owner-only RLS。

預期結果:

助理建議啟用 RLS，新增 SELECT、INSERT、UPDATE 和 DELETE policies，並使用 user JWT claims 進行測試。

正在使用「supabase-patterns」。 要求檢視 Supabase 生產就緒狀態。

預期結果:

助理回傳一份精簡 checklist，涵蓋 RLS、key placement、storage policies、realtime scope、rate limiting 和 CORS。

正在使用「supabase-patterns」。 要求規劃 team-based access。

預期結果:

助理解釋 team membership checks、admin update rules、helper functions 和 migration organization。

安全審計

高風險
v9 • 2026/7/13 開啟版本化報告

All 44 static findings are false positives caused by SQL identifiers, Markdown code fences, template literals, or public Supabase client configuration. However, two cookbook examples define privileged functions without a fixed search path, creating a conditional privilege-escalation risk.

2
已掃描檔案
538
分析行數
0
複核項目
0
已忽略的誤報

已確認的安全問題 (1)

高
cookbook/rls-policies.md:152-161cookbook/rls-policies.md:172-180
Unpinned Search Path in Privileged Functions
Two SECURITY DEFINER functions omit a fixed search_path and use unqualified relations, allowing object shadowing to execute code with owner privileges.
Both examples explicitly use SECURITY DEFINER without SET search_path and reference unqualified tables. Exploitability depends on schema creation privileges, but the unsafe pattern is clear.

風險因素

⚙️ 外部命令 (22)
SKILL.md:48 SKILL.md:52 SKILL.md:56 SKILL.md:62-72 SKILL.md:72-76 SKILL.md:76-91 SKILL.md:91-95 SKILL.md:95-113 SKILL.md:113-117 SKILL.md:117-139 SKILL.md:139-143 SKILL.md:143-158 SKILL.md:158-162 SKILL.md:162-166 SKILL.md:166-174 SKILL.md:174-175 SKILL.md:175-203 SKILL.md:203-211 SKILL.md:211-215 SKILL.md:215-222 SKILL.md:222-226 SKILL.md:226-233
🔑 環境變數 (4)
SKILL.md:123 SKILL.md:124 SKILL.md:123 SKILL.md:124
審計單位: codex 檢視審計紀錄 →
分享與引用此報告

分享版本化評估報告、中性徽章、嵌入卡片與引用。Skillstore 只報告證據，不判斷該 Skill 是否安全。

開啟版本化報告
安全評估

複製報告連結

https://skillstore.io/skills/consiliency-supabase-patterns/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 徽章

[![Skillstore security assessment](https://skillstore.io/badges/skills/consiliency-supabase-patterns/security.svg)](https://skillstore.io/skills/consiliency-supabase-patterns?utm_source=security_passport_badge)

HTML 徽章

<a href="https://skillstore.io/skills/consiliency-supabase-patterns?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/consiliency-supabase-patterns/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

嵌入卡片

<iframe src="https://skillstore.io/embed/skills/consiliency-supabase-patterns.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>
學術引用 (APA · BibTeX · CFF)

APA 引用

Consiliency. (2026). supabase-patterns security audit report (audit version 9) [Author version unspecified]. Skillstore. https://skillstore.io/skills/consiliency-supabase-patterns/audits/9

BibTeX 引用

@techreport{consiliency-consiliency-supabase-patterns-2026, author = {Consiliency}, title = {supabase-patterns security audit report (audit version 9)}, institution = {Skillstore}, year = {2026}, number = {9}, url = {https://skillstore.io/skills/consiliency-supabase-patterns/audits/9}, note = {Author version unspecified} }

CITATION.cff

cff-version: 1.2.0 message: "If you use this Skill, cite its author and this versioned security audit report." title: "supabase-patterns security audit report (audit version 9)" version: "unspecified" type: report authors: - name: "Consiliency" date-released: "2026-07-13" url: "https://skillstore.io/skills/consiliency-supabase-patterns/audits/9" identifiers: - type: other value: "skillstore:consiliency-supabase-patterns:audit:9" description: "Skillstore immutable audit report identifier"

Skillstore 評分

評分依據 證據置信度: 中
55
架構
85
可維護性
87
內容
71
社群
83
規範符合度

你可以打造什麼

保護新 App

在將 Supabase data 暴露給 client applications 之前，先建立具有 RLS policies 的 tables。

稽核現有 Policies

在 production release 前檢視 ownership、team 和 public-read rules。

標準化團隊指引

使用單一參考資料來進行 migrations、key handling、realtime scope 和 storage policy reviews。

試試這些提示

啟動 Supabase 專案 
Use the supabase-patterns skill to outline a secure Supabase setup for a new app with user-owned posts.
新增 RLS Policies 
Use the RLS cookbook to draft policies for posts where owners can write and public posts are readable.
檢視 Realtime 暴露範圍 
Check my planned realtime tables for sensitive data risks and propose safer subscriptions.
設計團隊存取權限 
Design Supabase RLS policies for teams with members, admins, soft deletes, and audit-ready migrations.

最佳實務

  • 建立每個 table 後立即啟用 RLS。
  • 避免將 service role keys 放在 client-side code 中。
  • 使用 anonymous、authenticated、owner 和 admin contexts 測試 policies。

避免

  • 先建立 tables，之後才新增 RLS。
  • 對 sensitive data 使用過於寬鬆的 authenticated-user policies。
  • 針對含有 private fields 的 tables 發佈 realtime changes。

常見問題

這項 skill 會自動執行 Supabase commands 嗎？
不會。它提供 command examples 和 patterns，供 AI assistant 在使用者核准後套用。
它可以取代 security review 嗎？
不會。它支援檢視，但無法證明 policies 涵蓋每一條 data path。
它涵蓋哪些 Supabase 領域？
它涵蓋 RLS、migrations、typed clients、realtime subscriptions、storage patterns 和 production checks。
它支援 Claude Code 和 Codex 嗎？
是。報告標示支援 Claude、Codex 和 Claude Code。
我可以搭配任何 framework 使用它嗎？
可以。來源指出它是 framework-generic，並未綁定單一專案。
我應該先自訂什麼？
先從 table names、ownership columns、team roles 和 sensitive data 的 policies 開始自訂。

開發者詳細資訊

授權

MIT

Skillstore 修訂

r1

版本提示

作者未聲明版本。

儲存庫

https://github.com/Consiliency/treesitter-chunker/tree/main/.ai-dev-kit/skills/supabase-patterns

引用

635f69fb8d2f4e6330ba47a4e5a0fb239c04d110

維護新鮮度

2026/7/22

使用量

6 次下載 · 293 次瀏覽

檔案結構

📁 cookbook/

📄 rls-policies.md

📄 SKILL.md