用途：该技能用于从目标应用的客户端代码中提取并分析 Supabase 相关的 JSON Web Token（JWT），帮助发现暴露的 API 密钥、硬编码用户令牌以及令牌存储位置，理解认证流程。
主要能力：识别 Supabase 中四类 JWT——anon key（客户端预期暴露）、service role key（绝不应暴露）、access token 与 refresh token（仅应动态存在）。检测静态 API 密钥、硬编码用户令牌、localStorage/sessionStorage 存储键模式。解码 JWT 头部与载荷，分析标准声明（sub、email、role、exp、iat）及 Supabase 特有声明（ref、iss、aal、amr）。按 P0（service_role 密钥暴露）、P1（含 PII 的硬编码用户令牌）、P2（过期测试令牌）分级输出安全发现。
使用方式：基本用法为“Extract JWTs from <目标URL>”，可附加声明分析。执行时须渐进式写入 .sb-pentest-context.json 与 .sb-pentest-audit.log，并在 .sb-pentest-evidence/02-extraction/ 下生成 extracted-jwts.json 证据文件。
适用场景：Supabase 应用安全审计、客户端密钥泄露排查、认证流程分析。
限制：需目标应用可访问且已完成 Supabase 检测；无法解码加密（JWE）或自定义格式令牌；可能遇到 Base64 误报，技能会校验结构；截断的 JWT 会尝试重组。资料未提供具体安装命令、收费与平台信息。