BaaS 설정 오류 탐지를 위한 Keyless --discover 기반 보안 스캐너 설계

Context

BaaS 대시보드의 시각적 상태 표시와 실제 Anonymous Role의 데이터 접근 권한 간의 괴리로 인한 데이터 유출 위험 상존. 기존 보안 감사는 Admin Credential 요구로 인한 높은 진입 장벽과 신뢰 비용이 병목 지점으로 작용.

Technical Solution

• Client Code 내 API 호출 사이트(table, collection, bucket 등)를 파싱하여 타겟 리소스 식별
• Repo 내 정의된 Public API Key 및 URL을 추출하여 인증 없이 접근 가능한 엔드포인트 자동 매핑
• Anonymous Role 권한으로 실제 REST/GraphQL API에 Probe 요청을 전송하여 데이터 반환 여부 검증
• BaaS별 특화된 Footgun 패턴(Supabase의 USING(true), PocketBase의 Empty rule 등)을 탐지 로직에 반영
• Admin 권한 없이 클라이언트 관점의 접근성을 시뮬레이션하는 Keyless Mode 설계로 Audit Friction 제거