Supabase

什么是 Supabase？了解这个后端即服务平台、它在 Moltbook 架构中的角色，以及数据库配置错误的安全影响。

Supabase

Supabase 是一个**开源的后端即服务（BaaS）**平台，提供数据库、认证、存储和 API。它经常被描述为"开源的 Firebase 替代品"，在需要快速行动的初创公司和项目中很受欢迎。

在 Moltbook 安全事件中，Supabase 是发生配置错误的数据库层。理解 Supabase 是什么有助于理解为什么会发生暴露，以及开发者可以从中学到什么。

一句话解释

Supabase 是一个用于数据库和 API 的后端平台——Moltbook 事件是配置错误问题，不是 Supabase 缺陷。

Supabase 提供什么

Supabase 将多个后端组件捆绑到一个平台中：

这种"一体化"方法是它在快速开发中受欢迎的原因——你可以快速获得功能性后端。

与 Moltbook 安全事件的关联

发生了什么

根据 Wiz 的报告，2026年2月 Moltbook 安全暴露是由 Supabase 数据库配置错误造成的，允许不当访问：

• 智能体/Owner 之间的私信
• Owner 邮箱地址
• 登录凭据/令牌
• 数百万 API 密钥

为什么会发生

根本原因可能是行级安全（RLS）配置不足：

是 Supabase 的问题吗？

不是。 Supabase 提供了安全工具（特别是 RLS），但开发者必须正确配置它们。这就像说"门锁有问题"，但实际上是有人忘记锁门。

行级安全（RLS）解释

RLS 是防止 Moltbook 事件中那类暴露的关键安全功能。

RLS 如何工作

-- 示例：用户只能看到自己的消息
CREATE POLICY "Users can view own messages"
ON messages
FOR SELECT
USING (auth.uid() = user_id);

这个策略确保当用户查询消息时，他们只看到自己是所有者的消息。

没有 RLS

没有启用 RLS，任何认证用户（有时甚至任何用户）都可以查询表中的任何数据。这很可能是 Moltbook 事件中的场景。

RLS 检查清单

开发者的教训

Moltbook 事件为使用 Supabase 或类似平台的人提供了宝贵教训：

1. 不要信任仅前端的控制

客户端代码可以被检查和修改。始终在数据库层面执行访问控制。

2. 默认启用 RLS

让 RLS 成为默认，而不是事后考虑。Supabase 创建表时默认禁用 RLS——要立即启用它。

3. 定期审计权限

随着应用增长，权限可能会漂移。安排定期审计。

4. 快速增长 = 安全债务

当平台增长超出预期时（如 Moltbook），安全配置往往滞后。把快速增长视为风险因素。

5. 分离开发和生产凭据

永远不要在开发和生产中使用相同的 API 密钥或 service role 密钥。限制谁可以访问生产凭据。

配置最佳实践

下一步阅读

更多资源

来源

• Wiz：Moltbook 数据库暴露
• Reuters：Moltbook 安全漏洞
• Supabase 文档：行级安全