Lovable 构建的应用因 RLS 配置不足泄露护照信息与 20 万条私信
AI 产品 / 生成式应用安全Crissy Field 的研究人员披露，多个用 Lovable 构建的应用因行级安全（RLS）配置不足，暴露了护照信息和超过 20 万条私信。Lovable 安全负责人 Igor 在讨论中确认，根本原因就是 RLS 配置不足；他还表示，平台会在发布前自动扫描所有应用，并提供对所有用户免费的深度 SAST 扫描。发现问题后，用户可点击“Fix”修复，或开启后台自动修复。现有材料没有说明受影响应用的具体数量、泄露持续时间，也没有证明自动扫描能覆盖已经发布的应用。
背景
Lovable 生成的应用通常依托 Supabase 的 Postgres 与 Data API：表通过 anon、authenticated 等角色暴露给前端，而 Row-Level Security（RLS）策略决定哪些行可被读写；若表有访问授权却缺少或写错 RLS，浏览器端就能直接取到数据。Supabase 自 2026 年 10 月 30 日起不再自动把 public schema 中的新表授权给 anon、authenticated 和 service_role，新表需显式授权后 Data API 才能访问；这一默认变更降低了新项目误暴露的风险，但并不能替代为已有表配置正确的 RLS。
影响
对使用 Lovable 发布应用的开发者，最直接的后果是必须逐表核对 RLS 策略和公开 API 的可读范围，不能把“发布前自动扫描”当作安全保证；Lovable 的修复功能是否默认开启、能否覆盖既有应用，现有材料未说明。已暴露护照信息的应用还应评估通知受影响用户，并收紧数据访问权限。社区讨论中，有评论者认为 Supabase 早期为降低上手门槛设定的默认权限也难辞其咎，并称相关默认值据称已在 10 月 30 日修复，但已有项目可能仍沿用旧设置；也有人强调 AI 生成应用数量多，攻击者仅通过浏览器检查网络请求就可能发现暴露。