English(EN) The Supabase view Claude created that anyone could read

Claude 代码生成的 SQL 视图在 Supabase 中造成安全漏洞

作者 PulseAugur 编辑部 · [1 个来源] · 2026-11-09 20:30

名为 Claude Code 的 AI 模型为 Supabase 项目生成了一个 SQL 视图，无意中造成了安全漏洞。该视图本用于仪表板，但因其以绕过行级安全（RLS）的“postgres”用户权限运行，而非运行查询的用户权限，从而绕过了 RLS。这使得通过匿名密钥（Supabase 中的常见默认设置）可以进行未经授权的访问。通过向视图创建添加 `security_invoker = true` 来解决了此问题，并开发了一个 PreToolUse hook 来自动检测和标记类似的 SQL 语句，防止其执行。 AI

影响凸显了 AI 模型直接与数据库交互时潜在的安全风险，以及执行前检查的必要性。

排序理由该条目描述了 AI 模型在与数据库工具交互时输出中发现的一个特定安全漏洞，以及使用 hook 提出的解决方案。

在 dev.to — Claude Code tag 阅读 →

AI 生成摘要 · Google Gemini · 来自 1 个来源。我们如何撰写摘要 →

本文如何被排名

Signal score: 12 / 100; Composite score across the factors below. Higher = stronger signal that this story matters right now.
Newsworthiness bucket: Tool; 该条目描述了 AI 模型在与数据库工具交互时输出中发现的一个特定安全漏洞，以及使用 hook 提出的解决方案。
Source corroboration: Single-source cluster; Only one publisher covered this so far. Single-source stories can still rank when the publisher is high-authority, but they lack cross-source corroboration.
Topics: product, safety; Editorial topic classification. Feeds into how the story surfaces on /topic/<slug> hub pages and into the per-entity coverage mix.
AI-industry relevance: High; Clearly on-topic for AI-industry coverage.
Story freshness: Breaking (< 6h); Fresh story with cross-source coverage still developing. Ranking may shift as more sources report.

完整方法见我们的编辑标准。

报道来源 [1]

dev.to — Claude Code tag TIER_1 English(EN) · Clément Creuzenet · 2026-11-09 20:30

Supabase 发布的 Claude 视图，任何人都可以阅读

<p>Claude Code created a view for me through an MCP SQL tool: a clean <code>create view public.my_view as ...</code>, no <code>security_invoker</code>.</p> <p>A check found the problem the next day. The view was readable with the anon key, the one that ships in the frontend.</p> …

本文如何被排名

报道来源 [1]

Supabase 发布的 Claude 视图，任何人都可以阅读

相关实体

相关话题