安全审计未知 Web 应用时检测其是否使用…

适用于在安全审计初期，快速判断一个公开可访问的 Web 应用是否使用 Supabase 作为后端，并留存可追溯证据。

适用场景

解决思路

1. 开始执行前，先把本次动作写入 `.sb-pentest-audit.log`，遵循 before/after 记录。
2. 每发现一个证据后，立即更新 `.sb-pentest-context.json`，不要等技能结束再批量写入。
3. 每完成一个重要步骤后，把完成状态写入 `.sb-pentest-audit.log`，确保中断时已有发现被保存。
4. 作为审计链的第一个技能，若 `.sb-pentest-context.json` 和 `.sb-pentest-audit.log` 不存在，先创建它们。
5. 进行域名模式匹配：在 HTML 源码、JavaScript bundles、内联脚本对应的网络请求中搜索 `*.supabase.co`、`*.supabase.com`、`supabase-cdn.com`。
6. 进行 JavaScript 客户端检测：查找 `import { createClient } from '@supabase/supabase-js'` 和 `const { createClient } = require('@supabase/supabase-js')` 等导入模式。
7. 继续查找客户端初始化特征：`supabase.createClient(`、`createClient('https://`。
8. 继续查找环境变量特征：`SUPABASE_URL`、`NEXT_PUBLIC_SUPABASE`、`VITE_SUPABASE`、`REACT_APP_SUPABASE`。
9. 检查特征 API 端点：`/rest/v1/`、`/auth/v1/`、`/storage/v1/`、`/realtime/v1/`、`/functions/v1/`。
10. 分析响应头：查找 `x-supabase-*` 和 `sb-*`。
11. 执行基本检测：检查目标 URL 是否使用 Supabase。
12. 需要详细信息时，执行带 full details 的检测。
13. 检测到 Supabase 时，输出目标、确认状态、检测证据（Domain、Client、Endpoints、Headers）、Project Reference、Project URL，并说明 Context saved to `.sb-pentest-context.json`。
14. 未检测到时，输出目标、未检测状态，以及已扫描范围（HTML source、JavaScript bundles、Network patterns、Response headers），并注明可能是自托管 Supabase 或自定义域名，若有已知 Supabase URL 可手动提供。
15. 将检测结果保存到 `.sb-pentest-context.json`：包含 `target_url`、`detection`（`detected`、`confidence`、`timestamp`、`evidence`，每条证据含 `type`、`value`、`location`、`line`）、`supabase`（`project_ref`、`project_url`）。
16. 向 `.sb-pentest-audit.log` 写入审计条目，使用如 `DETECTION_START`、`FETCH_HTML`、`FETCH_JS`、`PATTERN_MATCH`、`DETECTION_COMPLETE` 的事件名，并记录 timestamp、target、status、size、file、type、value、result、confidence。
17. 向 `.sb-pentest-audit.log` 写入形如 `[TIMESTAMP] [supabase-detect] [START] Starting Supabase detection`、`[TIMESTAMP] [supabase-detect] [SUCCESS] Supabase detected with high confidence`、`[TIMESTAMP] [supabase-detect] [CONTEXT_UPDATED] .sb-pentest-context.json created/updated` 的日志。
18. 按证据强度评定置信度：High 为多种证据类型（domain + client + endpoints）；Medium 为单一强证据（domain 或显式 client init）；Low 为仅间接证据（通用模式，可能 false positive）。
19. 目标使用自定义域名时，在检测时提供已知自定义 API 域名，例如 `Detect Supabase on https://myapp.com with custom API domain api.mycompany.com`。
20. 检测自托管 Supabase 时，查找 PostgREST patterns（`/rest/v1/`）、GoTrue auth patterns（`/auth/v1/`）以及代码中的 Supabase client library。
21. 检测 SPA 时，包括所有 JS chunks，或先与应用交互以加载全部 chunks，或提供已知 patterns。
22. 出现多个 Supabase 项目时，按多租户设置列出所有找到的项目。
23. 检测大 JS bundles 较慢时，使用 `--quick` 模式，例如 `Quick detect Supabase on https://myapp.com`。
24. 检测后运行 `supabase-extract-url` 确认并提取 project URL。
25. 检测后运行 `supabase-extract-anon-key` 查找 API key。
26. 检测后使用 `supabase-pentest` 执行完整引导审计。
27. 创建证据目录 `.sb-pentest-evidence/01-detection/`。
28. 在证据目录中创建 `initial-scan.json`，保存带所有证据的原始检测结果。
29. 在证据目录中创建 `supabase-endpoints.txt`，列出发现的 Supabase 端点。
30. 在证据目录中创建 `client-code-snippets/` 目录，存放相关代码摘录。
31. 按证据格式写入 `initial-scan.json`：包含 `evidence_id`、`timestamp`、`category`、`target_url`、`detection_results`（`supabase_detected`、`confidence`、`project_url`、`project_ref`）、`evidence` 数组（`type`、`value`、`location`、`line`、`context`）、`curl_command`。
32. 将检测用 curl 命令加入 `curl-commands.sh`：`curl -s "$SUPABASE_URL/rest/v1/" -H "apikey: $ANON_KEY" | head -100`。
33. 在 `curl-commands.sh` 中添加 `# === DETECTION ===` 注释。
34. 将检测阶段时间线加入 `timeline.md`：记录 `## [TIMESTAMP] - Detection Phase Complete`、Supabase 检测置信度、项目 `[project_ref]`、证据路径 `01-detection/initial-scan.json`。
35. 输出检测结果时，如果未检测到，不要断言一定不存在，提示可能存在自托管 Supabase 或自定义域名。
36. 执行过程中持续写入文件而不是只在结束时写入，避免技能崩溃、中断或超时导致发现丢失。
37. 将上下文字段中的证据逐条保存，包含证据类型、值、位置和行号。
38. 在检测到多个证据时，将所有证据写入 `evidence` 数组，而不是只保留一个。
39. 在 `curl-commands.sh` 中使用 `$SUPABASE_URL` 和 `$ANON_KEY` 变量，保留命令原文。

适用边界 · 注意事项

• 目标 URL 不能公开访问或无法联网抓取分析时不适用。
• 目标使用自托管 Supabase 或自定义 API 域名且没有已知模式时，基础域名检测可能误判为未使用。
• 仅发现通用模式、没有强证据时，不应据此高置信度判定为使用 Supabase。