检测客户端代码中暴露的 PostgreSQL/Supabas…

用于在安全审计或上线前检查客户端代码/构建产物中是否泄漏 PostgreSQL 或 Supabase 数据库连接串，并在发现 P0 泄漏时立即修复。

适用场景

解决思路

1. 搜索完整 Supabase 数据库 URL 模式：postgresql://postgres:[password]@db.[project-ref].supabase.co:5432/postgres；解析并记录 host、port、database、username、password，其中 password 为关键敏感信息。
2. 搜索 Supavisor pooler 连接模式：postgresql://postgres.[project-ref]:[password]@aws-0-us-east-1.pooler.supabase.com:6543/postgres。
3. 在客户端代码中检测完整连接串，例如 const dbUrl = 'postgresql://postgres:MySecretPass123@db.abc123.supabase.co:5432/postgres'。
4. 检测环境变量泄漏，例如客户端 bundle 中出现 process.env.DATABASE_URL、process.env.POSTGRES_URL、process.env.SUPABASE_DB_URL。
5. 检测部分暴露，例如单独出现 const DB_PASSWORD = 'MySecretPass123' 与 const DB_HOST = 'db.abc123.supabase.co'，并评估是否可组合用于访问。
6. 检测客户端代码中的 ORM 配置，例如 new PrismaClient({ datasources: { db: { url: 'postgresql://postgres:pass@db.abc123.supabase.co:5432/postgres' } } })。
7. 运行基本检查命令：Check for database connection strings on https://myapp.example.com。
8. 运行深度扫描命令：Deep scan for DB credentials on https://myapp.example.com。
9. 未发现连接串时，输出 PASS 报告，列出扫描的 JavaScript bundles 文件数、PostgreSQL patterns、connection strings、password patterns 均未发现。
10. 发现连接串时，标记 Severity: P0 - CRITICAL，显示密码部分脱敏的连接串（完整值放入 context file），解析 Host、Port、Database、Username、Password [EXPOSED]，记录文件路径和行号。
11. 评估影响：直接 PostgreSQL 访问、绕过所有 RLS policies、访问 auth.users table、修改数据库 schema、完整数据泄露。
12. 立即修复步骤 1：在 Supabase Dashboard > Settings > Database > Reset database password 更改数据库密码。
13. 立即修复步骤 2：从客户端代码删除连接串；确保 DATABASE_URL 不在 NEXT_PUBLIC_* 或 VITE_* 环境变量中；重新部署应用。
14. 立即修复步骤 3：审计滥用；检查 Supabase logs 中的直接 PostgreSQL 连接，审查未授权数据访问或修改。
15. 立即修复步骤 4：采用正确架构；客户端只使用 Supabase client library (REST API)，直接 DB 访问只来自 Edge Functions、服务端代码或迁移工具。
16. 记录修复文档链接：https://supabase.com/docs/guides/database/connecting-to-postgres 和 https://supabase.com/docs/guides/functions。
17. 写入 Context Output JSON：findings 中包含 id 为 DB_CONNECTION_STRING_EXPOSED、severity 为 P0、title 为 PostgreSQL Connection String Exposed、description、location.file、location.line、evidence.host、evidence.port、evidence.database、evidence.username、evidence.password_exposed、remediation.immediate、remediation.long_term、remediation.docs；supabase 中包含 db_string_exposed、db_host。
18. 处理部分暴露：标记 Severity: P1 - High；记录 Database host 和 Database password；建议轮换数据库密码并移除客户端代码中所有 DB 相关值。
19. 排查常见原因并修复：错误 env 前缀时绝不使用 NEXT_PUBLIC_DATABASE_URL；SSR 代码进入客户端时确保 server-only 代码留在服务端；Bundler 配置错误时审查 webpack/vite config 的 env 暴露；复制粘贴错误时提交前复核。
20. 架构错误示例：客户端直接 DB，例如 import { Pool } from 'pg' 和 const pool = new Pool({ connectionString: process.env.DATABASE_URL })。
21. 架构正确示例：客户端使用 Supabase client，例如 await supabase.from('products').select('*')，或调用 Edge Function，例如 await supabase.functions.invoke('complex-query')。
22. Edge Function 服务端正确示例：在 supabase/functions/complex-query/index.ts 中 import { createClient } from '@supabase/supabase-js'，使用 Deno.serve，并通过 createClient(Deno.env.get('SUPABASE_URL'), Deno.env.get('SUPABASE_SERVICE_ROLE_KEY')) 与 supabase.rpc('complex_function') 执行复杂查询。
23. 渐进更新上下文文件：开始任何动作前记录到 .sb-pentest-audit.log；每次发现后立即更新 .sb-pentest-context.json；每个重要步骤完成后记录到 .sb-pentest-audit.log；若文件不存在则先创建。
24. 日志格式示例：[TIMESTAMP] [supabase-extract-db-string] [START] Checking for DB connection strings；[TIMESTAMP] [supabase-extract-db-string] [CRITICAL] Connection string EXPOSED；[TIMESTAMP] [supabase-extract-db-string] [CONTEXT_UPDATED] .sb-pentest-context.json updated。
25. 收集证据到 .sb-pentest-evidence/02-extraction/db-string-exposure/；若发现 DB string，创建 connection-details.json（密码 redacted）和 location.txt（文件路径和行号）。
26. 按 P0 证据格式写入 evidence_id、timestamp、category、type、severity、finding_id、connection_string（pattern、host、port、database、username、password_exposed、password_length）、location（file、line、context）、impact（direct_db_access、rls_bypass、schema_access、auth_users_access）、remediation（immediate、remove_from_code、verify_env_vars）。
27. 将 P0 记录添加到 timeline.md，内容包括时间戳、P0 CRITICAL 标题、连接串暴露描述、Location、Impact、Evidence 路径，并标注 IMMEDIATE PASSWORD ROTATION REQUIRED。
28. 关联技能：supabase-extract-service-key、supabase-audit-tables-read、supabase-report。

适用边界 · 注意事项

• 目标应用不可访问，且无法自动完成 Supabase 检测时，无法可靠执行客户端连接串扫描。
• 项目不使用 Supabase 且只做本地源码检查、没有构建产物或客户端 bundle 时，应改用通用密钥扫描并先获取运行时产物。
• 已确认没有 PostgreSQL 直接连接需求，且客户端不包含任何服务端/DB 配置时，不需要按 Supabase DB 连接串专项检查。