用途：审计 Supabase 存储桶的公开访问配置，找出被错误设为公开、可能泄露敏感数据的桶，适用于上线前检查、怀疑公开存储含敏感数据或存储配置变更后的安全复核。
主要能力：发现公开桶并统计数量；按内容分类为“合理公开”“需复核”“严重错误配置”；识别敏感文件名模式，如 .sql、.env*、secret、backup、export（P0），invoice、contract、passport 等（P1），以及配置、日志、调试导出（P2）；输出分级发现、公开 URL 示例与整改建议，并生成 .sb-pentest-context.json 与 .sb-pentest-audit.log 记录。
使用方式：需准备 Supabase URL 与 anon key。技能提供快速公开桶检查与深度扫描两种用法。执行中要求渐进式写入上下文文件：每分析完一个桶立即更新 .sb-pentest-context.json，每次测试前后写入 .sb-pentest-audit.log，证据保存在 .sb-pentest-evidence/04-storage-audit/public-url-tests/ 下。整改示例包括将桶设为私有：UPDATE storage.buckets SET public = false WHERE name = 'backups'; 并配合 RLS 策略限制访问。
适用场景：上线前存储安全检查、定期自动化扫描、存储配置变更后复核。
限制：资料未提供具体安装命令、运行命令、支持的平台与收费信息；仅覆盖公开桶审计，不替代完整渗透测试；需自行确保授权测试。