用途：对 Supabase 存储桶执行只读的文件访问测试，验证存储权限与 RLS 策略是否真正生效，并发现敏感文件暴露。
主要能力：列出各桶文件、读取文件元数据、下载样本文件以校验内容类型、检查公开 URL 是否可访问；按文件名模式与内容特征识别敏感文件（如 .sql、backup、.env*、secrets、password、invoice、contract、id 等），并给出 P0/P1 等严重级别与修复建议。测试为只读，不修改或删除文件。
使用方式：需先列出桶（必要时自动调用）并具备 anon key。可对全部桶做基础读取测试，也可指定单个桶（如 documents），或仅列出不下载内容。执行过程中要求渐进式写入 .sb-pentest-context.json 与 .sb-pentest-audit.log，并在 .sb-pentest-evidence/04-storage-audit/buckets/ 下保存证据文件（file-list.json、sensitive-files.json、sample-contents/）。
适用场景：Supabase 项目存储安全审计、RLS 策略有效性验证、敏感文件暴露排查。
限制：仅覆盖存储桶读取层面，不涉及写入或删除；私有桶无法列出属正常现象；大桶建议使用采样模式；文件下载失败可能源于 RLS 限制或网络问题。具体命令与配置细节以实际环境为准。