個人開発のサービスからここ数ヶ月で5件、延べ1万件近い個人情報漏洩を発見/報告してきて、規則性を見つけたのでそれをベースにSupabase RLS CheckerというChrome拡張機能をつくった。
*ツール自体、法律的にグレーなのでストアで一般公開するかは考え中ですが、コードは公開している ->
github.com/hand-dot/supabase…
* 頭のネジが外れているやつは使うな。訴えられるから。
もしストアで公開したらまた教える。Supabaseを使って自分でサービスを開発している人は誰かに個人情報を抜かれる前に試してほしい。クライアントに漏れているanon keyをリアルタイムに拾って検知してくれる。
ちなみに下記のアイデアから作りました。
1. PIIを含むテーブルにRLS が設定されていない or 設定がザル なサイトが量産されている
2. anon keyはリクエストインターセプターを作ればリアルタイムに取得可能
3. PIIを含む可能性の高いテーブル名はネットに落ちてる
4. リクエストを送り、データが30件以上返ってくる場合、ポリシーにauth.uid() = user_id が設定されていないと仮説を立てられる
5. supabaseのplaygroundを用意し上記のanon keyと一緒飛ばしてあとはデータを確認してPIIであれば運営者に報告する
vibecodingで一日で作ったみたいなサイトのanon key経由で書き込みができたこともある。
f**k off vibe coders!! 俺の情報も含めてリスト化されて売られてんだよ。
自戒も込めてですが、サービスを安心して使ってもらうために設定を今一度見直しましょう。
きっと誰かがユーザーの情報を抜いている