AI 分析
痛点：非技术背景的 vibe coding 开发者上线应用时忘了开启 Supabase 的行级安全（RLS），导致任何人在未登录状态下都能用 anon key 拉走整张表的数据。
目标用户：用 AI/Cursor/Bolt 快速生成应用并直接上线的非技术独立开发者和小团队。
证据：If you get rows back without being logged in, anyone on the internet can read that table. The fix is to turn on row-level security and add a policy that only lets users read their own rows. I got tired of doing this by hand, so I built a free check that runs this test and a few others, like exposed .env files and leaked keys.
变现：免费单次扫描作为引流，付费订阅提供持续监控、定时重新扫描、邮件或 Slack 告警、一键修复指南和可分享的安全合规报告；可考虑按扫描次数打包收费，或面向 AI 建站平台做白标 API。
MVP：做一个网页版扫描器：用户输入站点 URL，自动从公开 JS 包中提取 Supabase URL 和 anon key，枚举 rest/v1 下的表，检测未启用 RLS 的表、暴露的 .env 文件和明文 service_role key，输出风险等级报告和修复步骤；付费版增加每天定时重新扫描和告警，2 周内可完成。
竞品：Supabase 内置 Security Advisor / RLS Linter、Gitleaks、TruffleHog、Detectify / Intruder 等外部攻击面扫描
摘要：作者在 r/SideProject 发布了一个免费的外部扫描工具，用于检测 vibe-coded 应用是否因未开启 Supabase RLS 而公开泄露整张表，也检查暴露的 .env 文件和泄露密钥。帖子本身没有提到收入或付费用户，但这类“AI 生成即上线”的应用安全缺口真实且高频，适合做免费扫描引流、持续监控订阅变现。