菜单
Audita RLS, políticas de Storage, Auth/JWT y Edge Functions/Realtime de Supabase self-hosted en modo lectura sin mutar la base de datos ni revelar secretos.
默认使用会先检查来源的 Prompt；你也可以切换为直接命令，或下载本地副本。
决定是否安装前，请先阅读 SKILL.md，以及 SkillsMP 当前展示的配套文件。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
直接命令不会经过审查 Prompt；运行前请先检查来源。
npx skills add https://github.com/MauricioPerera/thehumanintheloop-marketplace-codex --skill supabase-policy-security-auditor命令会保持在同一行。复制前请横向滚动并检查完整内容。
想先保存到本地？可下载 SkillsMP 当前能够提供的文件。
Registra kite-lite (motor web ligero orientado a agentes, sin JS vivo) como servidor MCP y enseña a usar bien sus 9 tools de navegación/fetch/screenshot: sesión persistente por proceso, formularios solo GET, sin ejecución de JS de la página, y detección declarativa de WebMCP. Úsala cuando el usuario pida navegar, fetchear, hacer scraping ligero, o tomar screenshots de una página sin un navegador real, o mencione kite-lite.
Corre los 4 linters de pre-publicación de kite-lite (seo-lint, a11y-lint, social-lint, webmcp-lint) contra una URL o archivo HTML y consolida los hallazgos en un solo reporte con severidad agregada. Úsala cuando el usuario pida auditar una página antes de publicarla, revisar SEO/accesibilidad/preview social/WebMCP de una URL, o mencione kite-lite.
Delega tareas de implementación a agentes efímeros por terminal (Ollama con `ollama launch claude`, o `pool exec` de poolside.ai), con la mecánica de lanzamiento headless sin colgarse, verificación independiente del resultado, y manejo de fallos transitorios/cuota. No sabe de la tarea en sí ni de contratos: solo de cómo lanzar y verificar. Úsala cuando el usuario pida delegar una implementación a un modelo/agente efímero por CLI, o mencione Ollama, pool/poolside, o "agente efímero".
正在显示 SKILL.md
| name | supabase-policy-security-auditor |
| description | Audita RLS, políticas de Storage, Auth/JWT y Edge Functions/Realtime de Supabase self-hosted en modo lectura sin mutar la base de datos ni revelar secretos. |
Usa esta skill cuando el usuario quiera revisar la postura de seguridad de las políticas de una instancia Supabase self-hosted: Row Level Security, Storage, Auth/JWT y Edge Functions/Realtime. Confirma host, usuario, alcance y ventana antes de inspeccionar.
Cubre cuatro dominios de políticas, siempre en modo lectura:
SELECT/INSERT/UPDATE/DELETE), roles, condiciones USING/WITH CHECK, funciones SECURITY DEFINER y políticas force/permissive.anon/authenticated/service_role y sesiones.SELECT de lectura contra catálogos (pg_catalog, information_schema, pg_policies, storage.buckets, storage.policies, vistas de supabase_functions).INSERT, UPDATE, DELETE, ALTER, DROP, TRUNCATE, GRANT, REVOKE, CREATE POLICY, DROP POLICY, ni supabase CLI que cree/modifique/borre recursos.JWT_SECRET, anon key, service_role key), contraseñas ni Authorization. Reporta solo la presencia/nombre y la expiración cuando sea observable.Authorization y cualquier secret/config de Edge Functions..env, Compose, migraciones, ni políticas durante una auditoría.WARNING/CRITICAL cualquier valor no verificable sin convertirlo en un secreto visible.psql/ssh, clave y known_hosts mediante el plugin VPS SSH Manager; identifica el contenedor de Postgres y el rol de conexión de solo lectura.public y auth y determina cuáles tienen RLS habilitado.pg_policies y catálogos para obtener políticas por tabla, comando, rol, qual/with_check y función SECURITY DEFINER.storage.buckets y storage.policies para buckets públicos y reglas; reporta exposición sin leer objetos.JWT_SECRET/claves (nombre, no valor) y algoritmos/expiración cuando sea observable sin firmar tokens.config/secrets (nombres), y políticas de Realtime; no invocas funciones ni publicas eventos.SELECT n.nspname, c.relname, c.relrowsecurity, c.relforcerowsecurity
FROM pg_class c JOIN pg_namespace n ON n.oid = c.relnamespace
WHERE n.nspname IN ('public','auth') AND c.relkind = 'r';
SELECT schemaname, tablename, policyname, permissive, roles, cmd, qual, with_check
FROM pg_policies WHERE schemaname IN ('public','auth');
SELECT n.nspname AS schema, p.proname, p.prosecdef
FROM pg_proc p JOIN pg_namespace n ON n.oid = p.pronamespace
WHERE n.nspname IN ('public','auth','storage') AND p.prosecdef = true;
SELECT id, name, public, file_size_limit, allowed_mime_types FROM storage.buckets;
SELECT policyname, tablename, policyname AS storage_policy, cmd, qual FROM storage.policies;
No ejecutes docker exec contra PostgreSQL para leer .env, no uses supabase functions deploy/serve, no firmes ni valides JWT con claves reales y no alteres políticas desde esta skill.
Ejecuta python scripts/validate_policy_security_scope.py --command-file <archivo> cuando se prepare una lista de comandos/SQL. Debe terminar con PASSED; cualquier sentencia mutante, secreto en texto plano o CLI que cree/modifique/borre queda bloqueado.