Compétence globale de Supabase officiel : pour toute tâche impliquant la base de données Supabase, l'authentification, les Edge Functions, le Realtime, le stockage, le CLI ou le MCP, l'agent doit consulter les journaux des mises à jour et la documentation les plus récents avant d'agir, exécuter des requêtes de vérification après les modifications, et se référer à une liste de contrôle de sécurité spécifique à Supabase.
Installations de skills.sh 348296 (+1522 / 24h)
Audit de sécurité : Non audité
- Pas encore scanné
Raison
- La liste de contrôle de sécurité s'applique à des pratiques concrètes : ne pas utiliser user_metadata, modifiable par l'utilisateur, pour l'autorisation ; les clés service_role / secret ne doivent pas être exposées dans le frontend, les variables NEXT_PUBLIC_ dans Next.js sont envoyées au navigateur ; les vues contournent par défaut le RLS, utiliser security_invoker à partir de Postgres 15 ; les stratégies UPDATE doivent inclure à la fois USING et WITH CHECK ; ne pas ajouter de SECURITY DEFINER pour résoudre des erreurs de permissions
- Avant de modifier la structure des tables, déterminer si le projet utilise un schéma déclaratif ou des migrations impératives ; en mode impératif, itérer avec execute_sql ou supabase db query, ne pas utiliser apply_migration pour modifier la base locale, exécuter les advisors avant la finalisation puis générer la migration avec db pull
- Si la même approche échoue 2–3 fois, s'arrêter, changer de stratégie et consulter les journaux, sans réessayer à l'identique
- skills.sh a enregistré 1522 installations en 24 heures, pour un total de 348296, avec une moyenne hebdomadaire comprise entre 11380 et 12605 au cours des 8 dernières semaines (indicateur d'attention uniquement)
Utilisation
- Nécessite un projet Supabase ; lors de l'utilisation du CLI, vérifier la version (l'auteur indique que db query nécessite v2.79.0+ et db advisors v2.81.3+), ou connecter Supabase MCP (connexion via https://mcp.supabase.com/mcp，OAuth)
- Dans les environnements CI et les agents, utiliser des jetons d'accès personnels à périmètre restreint (SUPABASE_ACCESS_TOKEN), et non les jetons à permissions complètes générés par la connexion navigateur
Risques
- Non audité pour cette période, classé C fixe, les commandes d'installation ne sont pas affichées
- L'agent accède en ligne aux journaux des mises à jour et à la documentation de supabase.com, et exécute directement du SQL sur la base de données ; MCP se connecte à votre projet réel, et l'auteur rappelle que les jetons classiques donnent accès à l'ensemble du compte, tandis que les commandes utilisant le mot de passe de la base de données ne sont pas limitées par le périmètre du jeton
- En l'absence de .mcp.json, SKILL.md demande à l'agent de créer le fichier lui-même à la racine du projet