用途：检测 Supabase 认证流程是否存在用户枚举漏洞，即攻击者能否判断某邮箱是否已注册。适用于认证安全审计、上线前检查。
主要能力：测试 /auth/v1/signup（注册已存在邮箱）、/auth/v1/token（登录）、/auth/v1/recover（密码找回）、/auth/v1/otp（一次性验证码）四类端点；识别显式消息泄露（如“User not found”“User already registered”）与响应时间差异（存在用户因密码哈希校验或发信而更慢）。按 P1/P2 分级，并给出统一响应、统一耗时、限流、验证码、监控等缓解建议。
使用方式：需具备 Supabase URL 与 anon key，且认证端点可访问。执行时须边测边写：每个端点测试后立即更新 .sb-pentest-context.json，测试前后写入 .sb-pentest-audit.log，证据存入 .sb-pentest-evidence/05-auth-audit/enumeration-tests/。示例命令：curl -X POST https://abc123def.supabase.co/auth/v1/signup -H "apikey: [anon-key]" -H "Content-Type: application/json" -d '{"email": "target@example.com", "password": "test123"}'。
限制：仅针对 Supabase 认证端点；需授权测试；时间阈值判断受网络影响；具体收费、平台支持等资料暂未提供。