跳到正文

#自托管/降本

今日 0 条
10月3日周六
5月26日周二
  1. Supabase Blog67

    Supabase 发布 npm 供应链攻击防护指南：从 pnpm 11 到锁定 GitHub Actions SHA

    Supabase 发布了一份针对 npm 供应链攻击的防护指南，起因是 npm 上出现仿冒其名称的 typosquat 包 supabase-javascript，被举报后数小时才下架，期间已有真实下载量。

    推荐理由：Supabase 官方给出的 npm 供应链加固清单，含 pnpm 11 与 7 天隔离期等可直接照做的配置，可交给 AI 编码代理执行。

1月7日周三
  1. Supabase Blog62

    Supabase 回顾 2025 安全变更：旧版 anon 与 service_role 密钥 2026 年底移除

    Supabase 发布 2025 安全回顾，列出已上线的安全变更与 2026 年计划。新 API key 模型用 publishable key 做低权限访问、多个可撤销的 secret key 做高权限访问，支持即时轮换与审计，旧版长期有效的 JWT anon 与 service_role 密钥在迁移期内仍可用，但将于 2026 年底移除。

    推荐理由：旧版 anon 与 service_role 密钥将在 2026 年底移除，用旧密钥的项目要在此之前迁到 publishable 与 secret key。

9月16日周二
  1. Supabase Blog38

    Supabase 谈 MCP 服务器纵深防御：不要把 AI Agent 直连生产数据库

    Supabase 回应“Supabase MCP 可泄露整个 SQL 数据库”的说法，澄清其从未提供托管 MCP 服务器，MCP 实现为开源、需自行或第三方托管，且 MCP 不会绕过 RLS。Supabase 强调提示注入是首要风险，建议 AI Agent 只连接开发、预发或分支数据库及脱敏数据，并保持 MCP 客户端手动审批开启。