用途：枚举 Supabase 项目中的全部 Storage 存储桶，输出桶名、是否公开、文件大小限制、允许的 MIME 类型、估算文件数及风险等级，用于存储安全审计和攻击面梳理。
主要能力：通过 /storage/v1/bucket 列出桶；分析 public、fileSizeLimit、allowedMimeTypes 配置；标记 P0/P1 问题（如备份桶公开、MIME 为 /）；输出汇总（总数、公开数、私有数、问题数）；给出 RLS 策略与修复建议（如将桶改为私有、限制 MIME）。
使用方式：需提供 Supabase URL 与 anon key，并已完成检测。示例命令：curl -s "$SUPABASE_URL/storage/v1/bucket" -H "apikey: $ANON_KEY" -H "Authorization: Bearer $ANON_KEY"。列出桶内文件：curl -s "$SUPABASE_URL/storage/v1/object/list/backups" -H "apikey: $ANON_KEY" -H "Authorization: Bearer $ANON_KEY"。
执行要求：必须渐进式写入 .sb-pentest-context.json 与 .sb-pentest-audit.log，每发现一个桶立即更新，不能等结束再写；证据保存到 .sb-pentest-evidence/04-storage-audit/，包括 buckets-config.json 与各桶 file-list.json。
适用场景：存储桶清单盘点、公开桶识别、访问权限测试前的准备、存储安全审计。
限制：若 Storage API 受限则无法枚举，应记为“无法枚举”；桶数量可能与预期不符，部分桶可能动态创建；私有桶仍需配合 supabase-audit-buckets-read 验证 RLS。具体收费与平台支持暂未提供。