Lovable 生成应用被曝暴露护照信息与超 20 万条私信

Lovable生成应用被曝暴露护照与20万条私信，因Supabase默认未启用行级安全

独立研究者在 crissyfield.de 发布实测文章称，大量由 AI 建站平台 Lovable 生成的应用存在数据暴露：护照信息与超过 20 万条真实用户私信可被读取，方式仅需在浏览器中查看网络请求，不需要专业攻击手段。研究者将根源指向底层 Supabase 默认不启用行级安全（RLS）的配置。受影响的是这些应用的真实终端用户，而不少应用由缺乏安全背景的非技术开发者搭建。评论区有说法称 Supabase 于 10 月 30 日修复了相关默认配置，但对存量项目是否生效尚无证实。

hackernews · armcat · 11月14日 17:43 · 社区讨论

「为何现在值得关注」 这篇研究两周前在 Hacker News 首发时未获关注，2026 年 11 月 14 日被重新提交后热度明显上升，议题正在扩散。同时评论区流传 Supabase 的修复只覆盖新项目、存量应用默认值未变的说法，若属实意味着风险仍在持续，但这一点尚未得到官方证实。

「可做角度」 可做角度：以这份一手实测为材料，拆解“AI 建站 + 默认配置”的暴露链条——默认不启用行级安全、只读密钥随前端分发，因此打开浏览器开发者工具即可复现读取路径；再给出读者自查自己项目是否开启 RLS 的具体步骤。聚焦可验证的技术事实，不泛化成“AI 编程必然不安全”的结论。

「社区讨论」 评论区的共识指向平台默认值的责任：有评论引述 Supabase 的 GitHub 讨论 #4547，称默认不启用行级安全是多年前为降低上手门槛做出的有意取舍，并称 10 月 30 日已修复、但存量项目可能仍沿用旧默认值；也有人主张 AI 平台应改用默认拒绝的数据库权限和自动化鉴权测试。另有分歧：是否算“数据泄露”存在争论，一种观点认为数据本就以公开只读密钥发布，“发布即泄露”，读取行为本身并不构成入侵。

查看原文 ↗