用途：在检测到 Supabase 使用后，从 Web 应用的客户端代码中提取确切的 Supabase 项目 URL，用于后续 API 测试与项目识别。
主要能力：扫描 JavaScript 源码（如 const SUPABASE_URL = 'https://abc123.supabase.co'、createClient(...)）、环境变量模式（process.env.SUPABASE_URL、process.env.NEXT_PUBLIC_SUPABASE_URL、import.meta.env.VITE_SUPABASE_URL）、HTML meta 与 script 标签，以及配置对象中的 url。支持标准域名、带区域域名和自定义域名；识别到 URL 后可推导 REST、Auth、Storage、Realtime、Functions 端点。若发现多个 URL，会标记主次并选用主 URL。
使用方式：在目标 URL 可访问、已检测或怀疑使用 Supabase 的前提下，执行基础提取（示例：Extract Supabase URL from https://myapp.example.com）；若已下载源码，可从本地文件提取（示例：Extract Supabase URL from ./dist/assets/）。执行中必须渐进更新 .sb-pentest-context.json 与 .sb-pentest-audit.log，并在 .sb-pentest-evidence/02-extraction/ 下按格式记录证据（如 extracted-url.json）。
验证与限制：会对提取结果做格式、可达性与响应模式校验。仅读取公开代码，不尝试认证；URL 本身不足以访问，仍需密钥。若 URL 位于动态加载分块中可能需深度扫描；验证失败可能因项目暂停或区域连通问题，URL 仍会被记录。定制域名会被标注并尝试识别底层项目。
适用场景：Supabase 安全评估的信息收集阶段。后续可配合 supabase-extract-anon-key、supabase-extract-service-key 及 API 审计技能。具体收费、平台与效果等事实暂未提供。