Supabase와 Firebase 접근 규칙(CWE-862): Row Level Security 누락이 데이터를 노출하는 방식과 해결 방법

핵심 개념 및 용어

공개 anon 키

Supabase의 anon 키와 Firebase 웹 설정은 앱 번들 안에 들어 있어 누구나 복사할 수 있습니다. 이들은 사용자가 아니라 프로젝트를 식별하므로 비밀이 아니며, 그 자체로는 데이터를 보호하지 못합니다.

Row Level Security(RLS)

모든 쿼리를 정책으로 걸러 내는 PostgreSQL 기능입니다. Supabase의 Table Editor는 새 테이블에 이를 켜 주지만, SQL이나 마이그레이션으로 만든 테이블은 RLS가 꺼진 채로 시작하고, 기본 권한 때문에 anon과 authenticated가 모든 행을 읽고 바꿀 수 있습니다.

USING과 WITH CHECK

USING은 사용자가 볼 수 있거나 수정·삭제할 수 있는 기존 행을 정하고, WITH CHECK는 쓸 수 있는 새 행이나 바뀐 행을 정합니다. insert나 update 정책에 USING만 있으면 다른 조직의 행을 쓸 수 있습니다.

service_role 키

service_role 키는 RLS를 완전히 우회합니다. 서버와 엣지 함수에서만 써야 하며, 브라우저나 모바일 앱에는 절대 넣지 않습니다.

Firestore 테스트 모드 규칙

테스트 모드로 시작한 프로젝트는 특정 날짜까지 모든 읽기와 쓰기를 허용하는 규칙을 받으며, 이후 allow read, write: if true로 바뀌는 경우가 많습니다. 규칙은 request.auth.uid를 문서의 소유자 필드와 비교해야 합니다.

단계별 공격 실행 흐름

소스 코드 비교: 취약한 구현 vs 보안 패치

-- migration.sql: 이 테이블에는 RLS가 한 번도 켜지지 않는다
create table public.invoices (
  id bigint generated always as identity primary key,
  org_id uuid not null references public.orgs (id),
  customer text not null,
  amount_cents bigint not null
);

-- 공개 anon 키로 모든 행을 읽고 바꾸고 지울 수 있다
grant select, insert, update, delete on public.invoices to anon, authenticated;

-- migration.sql: RLS 켜기, anon 권한 회수, 명령마다 정책 하나
create table public.invoices (
  id bigint generated always as identity primary key,
  org_id uuid not null references public.orgs (id),
  customer text not null,
  amount_cents bigint not null
);

-- RLS가 켜지면 정책이 없는 작업은 모두 거부된다
alter table public.invoices enable row level security;
revoke all on public.invoices from anon;

-- 사용자는 자신이 속한 조직의 청구서만 본다
create policy "members read their org's invoices"
  on public.invoices for select to authenticated
  using (org_id in (select org_id from public.memberships where user_id = (select auth.uid())));

-- 새 행은 사용자 조직의 것이어야 한다; update·delete 정책은 없다
create policy "members add invoices to their org"
  on public.invoices for insert to authenticated
  with check (org_id in (select org_id from public.memberships where user_id = (select auth.uid())));

엔지니어링 및 시스템 보안 강화 체크리스트

• 노출된 스키마의 모든 테이블에 RLS를 켜고, select tablename from pg_tables where schemaname = 'public' and not rowsecurity가 한 행이라도 반환하면 CI를 실패시킵니다.
• 명령마다 to authenticated로 한정한 정책을 하나씩 쓰고, 읽기에는 USING, insert와 update에는 WITH CHECK를 씁니다. 필요 없는 update·delete 정책은 만들지 않습니다.
• 익명 사용자가 읽을 이유가 없는 테이블은 anon의 권한을 회수하고, service_role 키는 서버 환경에만 둡니다.
• memberships처럼 정책이 읽는 테이블에도 RLS를 켜서 사용자가 스스로를 다른 조직에 추가하지 못하게 합니다.
• 테스트 사용자 두 명으로 확인해 사용자 A가 사용자 B 조직의 행을 0개만 받는지 검증합니다. Firestore는 @firebase/rules-unit-testing으로 에뮬레이터에서 규칙 단위 테스트를 실행합니다.

출처

• CWE-862: Missing Authorization
• Supabase docs — Row Level Security
• PostgreSQL docs — CREATE POLICY
• Firebase docs — Get started with Cloud Firestore Security Rules
• NVD — CVE-2025-48757 (missing Row Level Security in generated apps)