VibeRaven — проверка Supabase и Vercel перед релизом
VibeRaven
CLI и MCP находят в приложении на Vercel и Supabase дыры в RLS, ключи service_role в клиенте и вебхуки Stripe без подписи
- 64 ★ репозитория
- Последний коммит
Расширенный доступ
Почему такой уровень
- Инструмент читает исходники и переменные окружения проекта, а viberaven_heal_apply меняет файлы
- Команда «init» дописывает правила в AGENTS.md, CLAUDE.md и другие файлы настроек агентов
Установка
- Работает в
Ручная установка
npx -y viberaven@1.7.6 checkПроверка из корня проекта. Не требует аккаунта и не подключается к Supabase.
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Инструмент читает исходники и переменные окружения проекта, а viberaven_heal_apply меняет файлы
- Команда «init» дописывает правила в AGENTS.md, CLAUDE.md и другие файлы настроек агентов
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
VibeRaven читает репозиторий на вашей машине и перед запуском проекта сообщает о пробелах с файлом и строкой. Он смотрит миграции supabase, клиентский и серверный код, package.json и .env.example. К проекту Supabase он не подключается и запросов к приложению не шлет. Правила покрывают таблицы без включенного RLS, политики вроде using (true), которые открывают все строки на чтение или запись, ключ service_role в файлах, уходящих в браузер или в переменных NEXT_PUBLIC_, функции «security definer», доступные роли «anon», прямое подключение к Postgres на порту 5432 из бессерверного кода вместо пула на 6543 и вебхуки Stripe без проверки подписи. Дополнительно ловятся переменные окружения без записи в .env.example, запросы без лимита строк и отсутствие мониторинга ошибок. Команда выходит с кодом 1 при блокирующей проблеме, поэтому подходит как шаг CI. Для агентов есть MCP-сервер с инструментами viberaven_check_readiness, viberaven_heal_apply, viberaven_verify, viberaven_audit, viberaven_gate_result и viberaven_validate_npm_package, а также шесть навыков и плагин для Claude Code и Cursor.
Для кого. Тем, кто собирает приложения с помощью ИИ на связке Vercel и Supabase и хочет найти уязвимости до первых пользователей.
Подходит, если
- Приложение, собранное агентом, готовится к запуску, и нужна проверка политик RLS
- После новой миграции или изменения политики стоит убедиться, что таблицы не открыты всем
- В CI нужен шаг, который блокирует слитый код с ключом service_role в клиенте
- Передаете проект другому человеку и хотите приложить отчет с файлами и строками
- Агент перед добавлением npm-зависимости проверяет пакет через viberaven_validate_npm_package
Не подходит, если
- Стек другой: правила написаны под Vercel и Supabase
- Нужна проверка живого проекта: инструмент читает код и миграции, а к базе и приложению не подключается
- Нужен полноценный пентест: это статический анализ репозитория, и не атака на работающую систему
Пример запроса к агенту
Проверь это приложение через viberaven перед релизом, исправь по одной проблеме и запусти проверку заново после пакета правок.MCP
- Транспорт
- stdio
- Авторизация
- не нужна
Ограничения
Правила знают только про миграции в supabase/migrations и код в репозитории, поэтому настройки, выставленные вручную в панели Supabase, он не увидит. Два предупреждения Security Advisor, security_definer_view и function_search_path_mutable, правил пока не имеют и описаны только в руководствах. Нужен Node.js 20 и новее. Версия закреплена в командах (1.7.6), при обновлении ее нужно менять. Команда «init» дописывает ограниченные блоки правил в AGENTS.md, CLAUDE.md, GEMINI.md, правила Cursor и инструкции Copilot, перед записью есть режим предпросмотра.
Как отключить. Для MCP выполните claude mcp remove viberaven. Блоки правил между метками VIBERAVEN:START и VIBERAVEN:END в AGENTS.md и других файлах удалите вручную, как и папку .viberaven.
Частые вопросы
Подключается ли VibeRaven к моему проекту Supabase?
Нет. Он читает только файлы на вашей машине и не отправляет запросов ни к базе, ни к приложению. Аккаунт не нужен.
Что он проверяет?
Миграции и политики RLS, ключ service_role в клиентском коде и в переменных NEXT_PUBLIC_, функции security definer, порт пула Postgres, подпись вебхуков Stripe, список переменных в .env.example, запросы без лимита и мониторинг ошибок.
Как встроить в CI?
Командой check: она завершается кодом 1 при блокирующей проблеме. Есть и GitHub Action ohad6k/viberaven-action@v1, который комментирует pull request, а с параметром «fail-on-blockers» роняет задачу.
Какие навыки входят?
Шесть навыков с skills.sh: «viberaven», «architecture-context», «architecture-plan», «what-broke», «production-context» и «go-live». Основной навык ставится командой «npx -y skills@1.7.0 add ohad6k/VibeRaven --skill viberaven».
Что такое Studio?
Локальная страница, которую открывает npx -y viberaven@1.7.6 без команды. В ней ваш агент Claude Code, Codex или Gemini CLI вносит изменение в папку, а вы видите шаги, проверки, приложение и разницу в коде, и откат в один клик.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
MCP-серверыСкилл для аудита вайбкод-приложений: секреты, RLS в Supabase, авторизация, платежи, лимиты запросов, мобильные и ИИ-интеграции
Скилл проверяет проект на типовые дыры вайбкодинга: ключи в коде, .env в git, открытые LLM-эндпоинты и слабую авторизацию.
Проверка безопасности приложений, которые написал агент: правила для AGENTS.md, сканер живого сайта и аудит по 17 уязвимостям
Плагин Claude Code проверяет безопасность Supabase и MongoDB: оценка, готовые исправления, MCP только для чтения и CLI-агент.
CLI по безопасности для кодовых агентов: сканирование секретов, политики на команды, pre-commit хуки, аудит сторонних скиллов
CodeInspectus — сканер безопасности для кода от ИИ
CodeInspectus
Локальный MCP-сервер и CLI ищут уязвимости в сгенерированном ИИ коде и ведут цикл: скан, исправление, повторный скан
Сравнение с похожими
Карточки с тем же главным запросом: чем они отличаются.
| Инструмент | Официальный | Авторизация | Звезды репозитория | Главное отличие |
|---|---|---|---|---|
| VibeRaven — проверка Supabase и Vercel перед релизом (эта карточка) | нет | не нужна | 64 | |
| Supabase MCP Server | да | OAuth | 3 008 | MCP для управления проектом Supabase, а проверки репозитория не делает |
| Supabase Agent Skills | нет | 3 044 | навыки по работе с Supabase, сканера уязвимостей в них нет |
Коротко о README
В README перечислены проверки с идентификаторами и связанными предупреждениями Security Advisor, пример вывода, режимы запуска в терминале, CI и агентах, шесть навыков, плагины, MCP и локальная Studio. Есть ссылки на руководства по частым ошибкам Supabase.