待验证60% 置信事实精确时间

Supabase的公开匿名密钥（anon key）在设计上本身不是秘密，被允许出现在前端代码中，只代表'未登录用户'身份

2

来源数

60%

置信度

长期有效

时效性

2026/9/25

首次发现

来源

Supabase数据泄露事件：氛围编程的安全隐患

涉及实体

Supabaseproduct anon keyconcept

相关事实

待验证Supabase 的 anon key 是设计上公开嵌入前端代码的，本身不构成安全风险，前提是 RLS 策略正确配置79% 相似待验证由于服务器不记录调用方身份的历史状态，单凭一串API Key字符串就足以代表完整的身份权限，Key一旦泄露即可被无限制滥用67% 相似待验证API Key一旦泄露，攻击者即可在全球任何地点以密钥持有者身份无限制调用API，服务器无法区分正当调用与盗用调用65% 相似待验证端到端加密（E2EE）中每个用户持有一对密钥，公钥用于加密、私钥用于解密，私钥永远不离开用户设备63% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/950677

API

curl https://kongchang.com/api/v1/knowledge/claims/950677

MCP

get_claim(id=950677)