用途：枚举 Supabase 项目经 PostgREST API 暴露的数据库表，识别 API 攻击面，为安全审计和 RLS 策略测试做准备。
主要能力：通过 OpenAPI schema 端点 https://[project-ref].supabase.co/rest/v1/?apikey=[anon-key] 列出暴露的表、列、主键与外键，并按内容对表做风险分级（高：财务、密钥、认证；中：用户 PII、配置；低：公开内容），同时检查非 public schema 的暴露情况与未出现在 schema 中的隐藏表。
使用方式：需先获取 Supabase URL 与 anon key（缺失时自动调用相关技能获取）。可用指令如“List tables exposed on my Supabase project”，或加 schema 信息以显示列详情。建议按流程将发现逐条写入 .sb-pentest-context.json，并记录到 .sb-pentest-audit.log，证据存于 .sb-pentest-evidence/03-api-audit/tables/。相关技能：supabase-audit-tables-read、supabase-audit-rls、supabase-audit-rpc。
限制：仅枚举暴露表，不测试实际数据访问；若无表可能因 key 无效、URL 错误或 API 被禁用；敏感表应移出 public schema 或启用严格 RLS，密钥表可用 REVOKE 或视图隐藏列。