Sfoglia categorie
Esplora
Fiverr Pro
Italiano
$
USD
Controllerò il tuo supabase rls e troverò la perdita di dati che il tuo linter non riesce a vedere
Cenk Kurtoglu
Informazioni su questo servizio
Traduzione automatica.
Il linter di Supabase dice che tutto va bene. Non è la stessa cosa che essere sicuri.
Il linter verifica se esistono le policy. Non controlla se sono corrette. Leggo le policy stesse e trovo le falle che passano ogni controllo automatizzato.
COSA CERCO
- USARE (true) senza restrizioni di ruolo, così anon eredita l'accesso destinato agli utenti loggati
- Tabelle join e di membership che non sono isolate, permettendo a un tenant di raggiungere le righe di un altro tenant
- Chiavi di servizio-role raggiungibili dal codice client, che bypassano completamente RLS
- Policy permissive che cancellano silenziosamente quelle restrittive
- RLS attivato senza alcuna policy, o bucket di storage aperti
COSA OTTIENI
Un rapporto di ogni reale falla, classificata per gravità, con l'SQL esatto che la riproduce sul tuo database. Se le tue policy sono solide, lo dico chiaramente invece di inventare problemi.
La versione standard aggiunge policy corrette come migrazioni pronte all'uso. La versione premium aggiunge una suite pgTAP che fallisce sulla policy vulnerabile e supera la correzione.
L'accesso in sola lettura o un dump dello schema sono sufficienti.
Pubblico una demo riproducibile di una falla RLS e la sua correzione su GitHub, e la sicurezza di Supabase ha confermato la mia analisi di un problema reale. Contattami prima.
Scopri di più su Cenk Kurtoglu
Cenk Kurtoglu
Supabase RLS security audits
- DaTurchia
- Membro dagiu 2024
Lingue
Turco, Inglese
I audit Supabase authorization boundaries for teams shipping on Lovable, Bolt, Cursor and Replit.
The generated SQL is usually valid. What it misses is whether a policy that exists is actually correct: a permissive policy quietly cancelling a restrictive one, a membership join that is not isolated, or a service-role key reachable from a client path. All three pass Supabase's free linter, and all three pass tests written from a single account.
I work from read-only access or a sanitized schema dump. I never need your service-role key.
Traduzione automatica.
FAQ
Traduzione automatica.
Hai bisogno della mia chiave di service-role o dei dati di produzione?
No. L'accesso in sola lettura al database o un dump dello schema con le definizioni delle policy sono sufficienti. Non chiedo mai la tua chiave di service-role, credenziali di admin o una copia dei dati di produzione, e non dovresti inviarli a nessun auditor.
E se non trovi nulla di sbagliato?
Poi te lo dico, e il rapporto lo conferma. Un risultato pulito è un risultato reale: ottieni prove scritte che le tue policy sono valide, con le query che ho eseguito per dimostrarlo. Non inventerò scoperte per giustificare il prezzo.
