Według ich strony głównej: Supabase to open source'owa alternatywa dla Firebase. Rozpocznij swój projekt z bazą danych Postgres, uwierzytelnianiem, natychmiastowymi API, funkcjami Edge, subskrypcjami Realtime, przechowywaniem i osadzaniem wektorów.
Subdomena
Zasadniczo, gdy projekt jest tworzony, użytkownik otrzyma subdomenę supabase.co, taką jak: jnanozjdybtpqgcwhdiz.supabase.co
Konfiguracja bazy danych
Te dane można uzyskać z linku takiego jak https://supabase.com/dashboard/project/<project-id>/settings/database
Ta baza danych zostanie wdrożona w jakimś regionie AWS, a aby się z nią połączyć, można to zrobić, łącząc się z: postgres://postgres.jnanozjdybtpqgcwhdiz:[YOUR-PASSWORD]@aws-0-us-west-1.pooler.supabase.com:5432/postgres (została utworzona w us-west-1).
Hasło to hasło, które użytkownik wcześniej ustawił.
Dlatego, ponieważ subdomena jest znana i jest używana jako nazwa użytkownika, a regiony AWS są ograniczone, możliwe jest próbowanie brute force hasła.
Ta sekcja zawiera również opcje:
Zresetuj hasło do bazy danych
Skonfiguruj pooling połączeń
Skonfiguruj SSL: Odrzuć połączenia w formacie plan-text (domyślnie są włączone)
Skonfiguruj rozmiar dysku
Zastosuj ograniczenia i blokady sieciowe
Konfiguracja API
Te dane można uzyskać z linku takiego jak https://supabase.com/dashboard/project/<project-id>/settings/api
URL do dostępu do API supabase w twoim projekcie będzie wyglądać tak: https://jnanozjdybtpqgcwhdiz.supabase.co.
anon api keys
Wygeneruje również anon API key (role: "anon"), taki jak: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImpuYW5vemRyb2J0cHFnY3doZGl6Iiwicm9sZSI6ImFub24iLCJpYXQiOjE3MTQ5OTI3MTksImV4cCI6MjAzMDU2ODcxOX0.sRN0iMGM5J741pXav7UxeChyqBE9_Z-T0tLA9Zehvqk, który aplikacja będzie musiała użyć, aby skontaktować się z kluczem API ujawnionym w naszym przykładzie.
Można znaleźć API REST do kontaktu z tym API w dokumentacji, ale najbardziej interesujące endpointy to:
</details>
Więc, za każdym razem, gdy odkryjesz klienta używającego supabase z subdomeną, którą otrzymali (możliwe, że subdomena firmy ma CNAME nad ich subdomeną supabase), możesz spróbować **utworzyć nowe konto na platformie używając supabase API**.
### secret / service\_role api keys
Tajny klucz API zostanie również wygenerowany z **`role: "service_role"`**. Ten klucz API powinien być tajny, ponieważ będzie w stanie obejść **Row Level Security**.
Klucz API wygląda tak: `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImpuYW5vemRyb2J0cHFnY3doZGl6Iiwicm9sZSI6InNlcnZpY2Vfcm9sZSIsImlhdCI6MTcxNDk5MjcxOSwiZXhwIjoyMDMwNTY4NzE5fQ.0a8fHGp3N_GiPq0y0dwfs06ywd-zhTwsm486Tha7354`
### JWT Secret
**JWT Secret** również zostanie wygenerowany, aby aplikacja mogła **tworzyć i podpisywać niestandardowe tokeny JWT**.
## Authentication
### Signups
<div data-gb-custom-block data-tag="hint" data-style='success'>
Domyślnie supabase pozwoli **nowym użytkownikom tworzyć konta** w Twoim projekcie, używając wcześniej wspomnianych punktów końcowych API.
</div>
Jednakże, te nowe konta, domyślnie, **będą musiały zweryfikować swój adres e-mail**, aby móc zalogować się na konto. Możliwe jest włączenie **"Allow anonymous sign-ins"**, aby umożliwić ludziom logowanie się bez weryfikacji adresu e-mail. Może to dać dostęp do **nieoczekiwanych danych** (otrzymują role `public` i `authenticated`).\
To bardzo zły pomysł, ponieważ supabase nalicza opłaty za aktywnego użytkownika, więc ludzie mogliby tworzyć użytkowników i logować się, a supabase będzie za to naliczać opłaty:
<figure><img src="../.gitbook/assets/image (1) (1).png" alt=""><figcaption></figcaption></figure>
### Passwords & sessions
Możliwe jest wskazanie minimalnej długości hasła (domyślnie), wymagań (brak domyślnie) i zakazanie używania wyciekniętych haseł.\
Zaleca się **poprawę wymagań, ponieważ domyślne są słabe**.
* Sesje użytkowników: Możliwe jest skonfigurowanie, jak działają sesje użytkowników (limity czasowe, 1 sesja na użytkownika...)
* Ochrona przed botami i nadużyciami: Możliwe jest włączenie Captcha.
### SMTP Settings
Możliwe jest ustawienie SMTP do wysyłania e-maili.
### Advanced Settings
* Ustaw czas wygaśnięcia tokenów dostępu (domyślnie 3600)
* Ustaw wykrywanie i unieważnianie potencjalnie skompromitowanych tokenów odświeżania oraz limit czasowy
* MFA: Wskaż, ile czynników MFA może być zarejestrowanych jednocześnie na użytkownika (domyślnie 10)
* Max Direct Database Connections: Maksymalna liczba połączeń używanych do uwierzytelniania (domyślnie 10)
* Max Request Duration: Maksymalny czas dozwolony na trwanie żądania uwierzytelnienia (domyślnie 10s)
## Storage
<div data-gb-custom-block data-tag="hint" data-style='success'>
Supabase pozwala **przechowywać pliki** i udostępniać je przez URL (używa S3 buckets).
</div>
* Ustaw limit rozmiaru przesyłanego pliku (domyślnie 50MB)
* Połączenie S3 jest podane z URL-em takim jak: `https://jnanozjdybtpqgcwhdiz.supabase.co/storage/v1/s3`
* Możliwe jest **żądanie klucza dostępu S3**, który składa się z `access key ID` (np. `a37d96544d82ba90057e0e06131d0a7b`) i `secret access key` (np. `58420818223133077c2cec6712a4f909aec93b4daeedae205aa8e30d5a860628`)
## Edge Functions
Możliwe jest również **przechowywanie tajemnic** w supabase, które będą **dostępne przez edge functions** (mogą być tworzone i usuwane z sieci, ale nie jest możliwy bezpośredni dostęp do ich wartości).
<div data-gb-custom-block data-tag="hint" data-style='success'>
Ucz się i ćwicz AWS Hacking:<img src="/.gitbook/assets/image.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/image.png" alt="" data-size="line">\
Ucz się i ćwicz GCP Hacking: <img src="/.gitbook/assets/image (2).png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/image (2).png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
<details>
<summary>Support HackTricks</summary>
* Sprawdź [**plany subskrypcji**](https://github.com/sponsors/carlospolop)!
* **Dołącz do** 💬 [**grupy Discord**](https://discord.gg/hRep4RUj7f) lub [**grupy telegram**](https://t.me/peass) lub **śledź** nas na **Twitterze** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
* **Dziel się trikami hakerskimi, przesyłając PR-y do** [**HackTricks**](https://github.com/carlospolop/hacktricks) i [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) repozytoriów na githubie.
</details>
</div>