보안사례 인기

service_role 키 실수로 깃에 올렸어요… 어떻게 수습하죠?

1시간 전 · 조회 1.2k

코딩은 거의 모르고 Cursor한테 시키면서 가계부 앱을 만들었어요. 어제 깃허브에 올렸는데, 오늘 보니까 .env 파일이 그대로 같이 올라가 있더라고요.

그 안에 Supabase service_role 키가 들어 있어요. 검색해보니 이게 RLS를 우회하는 마스터 키라던데… 일단 커밋에서 .env를 지우면 되는 건가요? 아니면 키 자체를 새로 발급받아야 하나요?

급해서 우선 레포를 private으로 돌려놨습니다. 비슷한 경험 있으신 분 조언 부탁드려요 🙏

취약점

service_role 키가 프론트엔드 번들에 그대로 포함돼, 누구나 개발자도구로 키를 꺼내 RLS를 전부 우회하고 DB 전체를 읽고 쓸 수 있었습니다.

방어

클라이언트엔 공개돼도 되는 anon 키만 환경변수로 주입하고, service_role 은 서버 전용으로 분리. 이미 노출된 키는 Supabase 대시보드에서 즉시 재발급합니다.

supabaseClient.ts+8−3

11 import { createClient } from '@supabase/supabase-js'

2+import { createClient } from '@supabase/supabase-js'

3−// ❌ service_role 키가 프론트 코드에 노출

5+// ✅ 공개돼도 되는 anon 키만 클라이언트에

46 export const supabase = createClient(

5− 'https://xxxx.supabase.co',

6− 'eyJ...service_role...KEY' // RLS 전체 우회

7+export const supabase = createClient(

8+ process.env.NEXT_PUBLIC_SUPABASE_URL!,

9+ process.env.NEXT_PUBLIC_SUPABASE_ANON_KEY!

710 )

11+)

12+// service_role 은 서버 환경변수로만 (노출 키는 대시보드에서 재발급)

supabase키노출긴급

댓글 3