O que um estranho lê no teu banco?
A chave pública do Supabase está no código do teu site: qualquer um pega. Eu testo cada tabela com ela, do jeito que um atacante faria, e te mostro o que está aberto. Foi assim que eu achei o endereço de todos os restaurantes do meu SaaS exposto.
Prefere pelo terminal?
Na pasta do teu projeto. Ele lê a URL e a chave do teu .env e roda da tua máquina:
npx -y https://maycon.brasahub.com.br/cli/vibe-em-producao.tgz raiox
E o doctor confere o projeto inteiro: .env no git, chave secreta no front, migration
perigosa, tabela sem RLS. Nada sai da tua máquina:
npx -y https://maycon.brasahub.com.br/cli/vibe-em-producao.tgz doctor