Supabase 官方的总技能：凡是涉及 Supabase 数据库、认证、Edge Functions、Realtime、存储、CLI 或 MCP 的任务，规定代理先查最新更新日志和文档再动手，改完要跑查询验证，并对照一份 Supabase 特有的安全清单。
skills.sh 安装量 348296（+1522 / 24h）
安全审计：未审计
- 尚未扫描
理由
- 安全清单落到具体写法：不用用户可改的 user_metadata 做授权；service_role / secret key 不能进前端，Next.js 里 NEXT_PUBLIC_ 变量会发到浏览器；视图默认绕过 RLS，Postgres 15 起用 security_invoker；UPDATE 策略要同时写 USING 和 WITH CHECK；不能为解决权限报错加 SECURITY DEFINER
- 改表结构先分清项目用声明式 schema 还是命令式迁移；命令式时用 execute_sql 或 supabase db query 迭代，不用 apply_migration 改本地库，定稿前跑 advisors 再用 db pull 生成迁移
- 同一做法失败 2–3 次就停下换思路、查日志，不原地重试
- skills.sh 24 小时安装 1522，累计 348296，最近 8 周每周在 11380–12605 之间（只代表关注度）
用法
- 需要 Supabase 项目；用 CLI 时注意版本（作者称 db query 要 v2.79.0+，db advisors 要 v2.81.3+），或接 Supabase MCP（https://mcp.supabase.com/mcp，OAuth 登录）
- CI 和代理里用限定范围的个人访问令牌（SUPABASE_ACCESS_TOKEN），不要用浏览器登录生成的全权限令牌
风险
- 本期未审计，固定 C 级、不显示安装命令
- 会让代理联网读 supabase.com 的更新日志和文档，并直接对数据库执行 SQL；MCP 连的是你的真实项目，作者也提醒经典令牌有整个账号的权限，用数据库密码的命令不受令牌范围限制
- 缺 .mcp.json 时 SKILL.md 让代理在项目根目录自行创建