AI 编码代理能快速交付 Supabase 应用，但谁来检查数据库是否真的锁好了？

Reddit r/AI_Agents 工具
supabase rls-security ai-coding-agents cli security-scanning database-security cursor

摘要

一位使用 AI 编码代理（Cursor、Claude）开发应用的开发者发现，代理经常写出看似安全、实则不然的 Supabase RLS 策略，于是他写了一个小型 CLI 安全扫描工具，结果在自己的仓库中发现了 95 个问题（其中 12 个为高危）——包括一个暴露在公开 HTML 中的在线 service-role 密钥，以及暴露 access-key 表的过时 RLS 策略。

我一直在用 Cursor 和 Claude 来开发，速度确实很快。但我注意到，代理经常写出看似安全、实则不然的 RLS 策略。一条松散的策略，anon 用户就能读取所有数据。最后我写了一个小型 CLI 来做检测，结果在自己的仓库里发现了真实的问题：95 个发现，12 个高危。其中大部分是旧的测试 fixture，但一个藏在公开 HTML 文件中的在线 service-role 密钥，以及暴露 access-key 表的过时 RLS 策略，是实打实的问题。这对我来说是个警钟。很好奇其他人是怎么处理的：你们会审查代理写出来的策略吗，还是直接信任它们？有没有哪个代理曾经泄露密钥或向你开放过某张表？你们在发布前用什么工具来检查？说实话，我不确定那些「枯燥的」安全步骤在代理工作流中是否得到了足够重视。希望能听听大家行之有效的做法。
查看原文

相似文章

@akshay_pachaar: https://x.com/akshay_pachaar/status/2067646389291725258

X AI KOLs Following

像Claude Code这样的AI编码代理可能很危险，因为它们生成的代码不考虑授权和操作安全性，可能导致未经授权的写入操作，例如删除生产数据库。真正的风险不在于代码质量，而在于缺乏运行时访问控制。

如果你刚接触编程助手：它们会写日记，你的 API 密钥就在里面

Reddit r/AI_Agents

像 Claude Code、Cursor 和 Codex 这样的编程助手会将会话日志保存在本地，这可能会暴露 API 密钥和环境变量等敏感数据。一位名叫 Ishan 的开发人员创建了一个离线工具，用于扫描并擦除这些日志中的机密信息，解决了这一常见的安全盲点。