用途
supabase-audit-functions 用于发现和测试 Supabase Edge Functions 的安全漏洞与错误配置。它属于 Supabase 渗透测试技能集的一部分，适合在全面的安全审计中作为 Edge Functions 审计环节使用。
主要能力
该技能可以：
- 发现暴露的 Edge Functions，方法包括常见名称枚举和客户端代码分析。
- 测试函数是否要求认证（JWT）。
- 检查输入验证问题，例如注入。
- 检查错误处理是否泄露内部信息。
- 测试授权逻辑，识别 IDOR（越权访问他人数据）和缺失角色检查导致的权限提升。
技能覆盖的常见函数漏洞包括：无认证访问、IDOR、缺失角色检查、输入注入、信息泄露、CORS 配置错误，并给出对应的严重级别（P0-P2）。
使用方式
使用前需要具备 Supabase URL，并已完成检测（Detection）。
基本用法示例：
- “Audit Edge Functions on my Supabase project”
- “Test the process-payment Edge Function for security issues”
技能会输出结构化的审计报告，包含函数发现、认证测试、输入验证测试、错误响应测试以及安全评估和修复建议。
适用场景
- 发现项目中暴露的 Edge Functions。
- 测试函数认证要求。
- 检查输入验证问题。
- 作为全面安全审计的一部分。
限制与注意事项
- 需要 Supabase URL 并已完成检测。
- 部分测试（如 webhook 签名验证）可能因缺少有效签名而无法完成。
- 执行过程中必须逐步更新上下文文件和审计日志，不能等到最后批量写入；若技能崩溃或中断，已发现的结果必须已保存。
- 必须收集证据文件到指定目录。
- 该技能仅用于安全审计目的。
相关技能
- supabase-audit-rpc — 数据库函数（不同于 Edge Functions）
- supabase-audit-auth-config — 认证配置
- supabase-report — 纳入最终报告