Zurück zur Übersicht
Risiko
Supabase service_role Key im Frontend
Der service_role Key umgeht alle Sicherheitsregeln – er gehört nie ins Frontend.
Supabase hat zwei Schlüssel: den anon Key fürs Frontend und den service_role Key für den Server. Werden sie verwechselt, landet der mächtigste Schlüssel deiner Datenbank im Browser.
Was passiert
Der service_role Key wird in den Frontend-Code oder eine öffentliche Environment-Variable geschrieben. Damit ist er für jeden Besucher im Browser sichtbar.
Warum es gefährlich ist
Der service_role Key umgeht Row Level Security und hat vollen Lese- und Schreibzugriff auf deine Datenbank. Im Frontend bedeutet das: jeder kann alle Daten lesen, ändern oder löschen.
Wie Env Clinic hilft
Env Clinic decodiert Supabase-JWTs lokal, erkennt einen service_role Key und stuft ihn im Frontend als kritisch ein – inklusive klarer Anleitung.
env-clinic scan .
- Unterscheidet anon und service_role
- Warnt bei service_role im Frontend
- Erklärt, wohin der Key gehört