backupdrill 2.1.1 → 2.1.3

package/dist/lib.d.ts

@@ -2,6 +2,8 @@ export { runBackup } from "./backup.js";
 export { SUPABASE_ROOT_CA, pgConnectOptions } from "./supabase-ca.js";
 export { runDrill, drillDump } from "./drill.js";
 export { runRestore } from "./restore.js";
+export { projectRefOf, assertNoHostOverride } from "./restore-engine.js";
+export { sameDatabaseTarget } from "./restore.js";
 export { runEstimate, project } from "./estimate.js";
 export { loadConfig } from "./config.js";
 export { targetClient, resolveSnapshot, getObjectText, downloadToFile, hashObject, } from "./snapshots.js";

package/dist/lib.js

@@ -6,6 +6,9 @@ export { runBackup } from "./backup.js";
 export { SUPABASE_ROOT_CA, pgConnectOptions } from "./supabase-ca.js";
 export { runDrill, drillDump } from "./drill.js";
 export { runRestore } from "./restore.js";
+// 身份判定三件套对外导出:托管 worker 用它们与 app 侧 shared 的副本做同规则回归(交叉审查)
+export { projectRefOf, assertNoHostOverride } from "./restore-engine.js";
+export { sameDatabaseTarget } from "./restore.js";
 export { runEstimate, project } from "./estimate.js";
 export { loadConfig } from "./config.js";
 export { targetClient, resolveSnapshot, getObjectText, downloadToFile, hashObject, } from "./snapshots.js";

package/dist/restore-engine.d.ts

@@ -1,11 +1,15 @@
 import type { ExtensionInfo } from "./manifest.js";
 export type RestoreTargetKind = "sandbox" | "supabase";
-/** 主机名规范化:剥掉合法的 DNS 根点(db.x.supabase.co. ≡ db.x.supabase.co)。
- * 身份比较不规范化 = 一个尾点就能绕过同源阻断(supabase-ca 对同类早有钉子)。 */
+/** 主机名规范化:先按驱动语义百分号解码(pg-connection-string / libpq 都会解码主机名,
+ * `supabase%2Ecom` 在驱动眼里就是 supabase.com),再剥掉合法的 DNS 根点(db.x.supabase.co. ≡
+ * db.x.supabase.co)。身份比较不规范化 = 一个尾点或一个 %2E 就能绕过同源阻断(交叉审查)。 */
 export declare function normalizeHost(hostname: string): string;
 /**
  * 从连接串提取 Supabase 项目 ref(纯函数):直连主机 `db.<ref>.supabase.co` 或
- * pooler 用户名 `postgres.<ref>`。放在引擎层:备份端(写 manifest.sourceProjectRef)
+ * pooler 用户名 `<role>.<ref>`:Supavisor 在**最后一个点**切分租户(handler_helpers.ex),角色名
+ * 可以含大写、连字符甚至点,所以角色段不做限制、只认最后一段 ref;并且必须是 Supabase pooler
+ * 主机——同样形状的用户名落在别的主机上不是 Supabase 租户身份(交叉审查)。
+ * 放在引擎层:备份端(写 manifest.sourceProjectRef)
  * 与恢复端(同源阻断)共用同一个身份判定。非 Supabase 形态返回 null。
  */
 export declare function projectRefOf(connString: string): string | null;
@@ -71,6 +75,11 @@ export declare function credentialSafeDbArgs(connString: string): {
  * 拒绝连接串里的 host/hostaddr/user 查询覆盖:驱动会让它们改写实际连接目标/租户——
  * 身份判定(ref/主机)看的是 authority,读写却发生在别处。备份侧(源身份自记)与
  * 恢复侧(确认门/同源阻断)共用本检查。
+ * Supabase pooler 主机上再拒绝**任何** `?options=`:Supavisor 从 options 里解析 `reference=<ref>`
+ * 并让它优先于用户名里的租户段(handler_helpers.ex),而且会再解一次编码、认反斜杠转义——
+ * 试图识别"哪种 options 值是租户覆盖"是在追它的解析器,`%2572eference` 这类双重编码就绕过了
+ * (交叉审查)。pooler 串本来就不需要 options,整个参数一律拒绝;非 pooler 主机(普通 Postgres
+ * 目标)的 options 没有租户语义,照常放行。
  */
 export declare function assertNoHostOverride(connString: string): void;
 export declare function restoreDatabaseArtifact(opts: {

package/dist/restore-engine.js

@@ -11,14 +11,25 @@
 import { spawn } from "node:child_process";
 import { resolvePgRestoreBin } from "./pgbin.js";
 import { dumpUrlFor, connectPg } from "./supabase-ca.js";
-/** 主机名规范化:剥掉合法的 DNS 根点(db.x.supabase.co. ≡ db.x.supabase.co)。
- * 身份比较不规范化 = 一个尾点就能绕过同源阻断(supabase-ca 对同类早有钉子)。 */
+/** 主机名规范化:先按驱动语义百分号解码(pg-connection-string / libpq 都会解码主机名,
+ * `supabase%2Ecom` 在驱动眼里就是 supabase.com),再剥掉合法的 DNS 根点(db.x.supabase.co. ≡
+ * db.x.supabase.co)。身份比较不规范化 = 一个尾点或一个 %2E 就能绕过同源阻断(交叉审查)。 */
 export function normalizeHost(hostname) {
-    return hostname.replace(/\.$/, "").toLowerCase();
+    let decoded = hostname;
+    try {
+        decoded = decodeURIComponent(hostname);
+    }
+    catch {
+        // 非法百分号序列:驱动同样解不开,按原样比较
+    }
+    return decoded.replace(/\.$/, "").toLowerCase();
 }
 /**
  * 从连接串提取 Supabase 项目 ref(纯函数):直连主机 `db.<ref>.supabase.co` 或
- * pooler 用户名 `postgres.<ref>`。放在引擎层:备份端(写 manifest.sourceProjectRef)
+ * pooler 用户名 `<role>.<ref>`:Supavisor 在**最后一个点**切分租户(handler_helpers.ex),角色名
+ * 可以含大写、连字符甚至点,所以角色段不做限制、只认最后一段 ref;并且必须是 Supabase pooler
+ * 主机——同样形状的用户名落在别的主机上不是 Supabase 租户身份(交叉审查)。
+ * 放在引擎层:备份端(写 manifest.sourceProjectRef)
  * 与恢复端(同源阻断)共用同一个身份判定。非 Supabase 形态返回 null。
  */
 export function projectRefOf(connString) {
@@ -29,8 +40,14 @@ export function projectRefOf(connString) {
             return direct[1];
         // 用户名必须先解码再匹配:URL 解析器保留百分号编码,而 pg/libpq 会解码——
         // postgres%2Eref 在驱动眼里就是 postgres.ref,不解码 = 身份判定可被编码绕过
-        const pooled = decodeURIComponent(url.username).match(/^postgres\.([a-z0-9]{16,})$/);
-        if (pooled)
+        // [\s\S] 而不是 .:Postgres 加引号的角色名可含换行,`.` 不匹配行终止符会让这类角色身份判定失效。
+        // 解码后含 NUL 一律不认:启动包用 NUL 分隔字段,`postgres%00options%00reference=…%00x.<ref>`
+        // 在驱动/Supavisor 眼里是 user=postgres 外加一个 options 字段,身份判定看到的 ref 是假的(交叉审查)
+        const username = decodeURIComponent(url.username);
+        if (username.includes("\0"))
+            return null;
+        const pooled = username.match(/^[\s\S]+\.([a-z0-9]{16,})$/);
+        if (pooled && /\.pooler\.supabase\.com$/.test(normalizeHost(url.hostname)))
             return pooled[1];
         return null;
     }
@@ -233,15 +250,41 @@ export function credentialSafeDbArgs(connString) {
  * 拒绝连接串里的 host/hostaddr/user 查询覆盖:驱动会让它们改写实际连接目标/租户——
  * 身份判定(ref/主机)看的是 authority,读写却发生在别处。备份侧(源身份自记)与
  * 恢复侧(确认门/同源阻断)共用本检查。
+ * Supabase pooler 主机上再拒绝**任何** `?options=`:Supavisor 从 options 里解析 `reference=<ref>`
+ * 并让它优先于用户名里的租户段(handler_helpers.ex),而且会再解一次编码、认反斜杠转义——
+ * 试图识别"哪种 options 值是租户覆盖"是在追它的解析器,`%2572eference` 这类双重编码就绕过了
+ * (交叉审查)。pooler 串本来就不需要 options,整个参数一律拒绝;非 pooler 主机(普通 Postgres
+ * 目标)的 options 没有租户语义,照常放行。
  */
 export function assertNoHostOverride(connString) {
     try {
-        const params = new URL(connString).searchParams;
+        const url = new URL(connString);
+        // 用户名/密码/主机里解码后出现 NUL:启动包以 NUL 分隔字段,后面的内容会被当成额外的启动参数
+        // (options=reference=… 之类),连接目标与身份判定脱节。libpq 稍后也会拒,但驱动侧先发出的
+        // 启动包已经到了 pooler——在任何连接/身份判定之前就拒(交叉审查)。
+        for (const [label, raw] of [["username", url.username], ["password", url.password], ["host", url.hostname]]) {
+            let decoded = raw;
+            try {
+                decoded = decodeURIComponent(raw);
+            }
+            catch {
+                // 非法编码:驱动同样解不开,按原样看
+            }
+            if (decoded.includes("\0")) {
+                throw new Error(`connection string ${label} contains a NUL byte override — use a plain connection string.`);
+            }
+        }
+        const params = url.searchParams;
+        const isSupabasePooler = /\.pooler\.supabase\.com$/.test(normalizeHost(url.hostname));
         for (const key of params.keys()) {
             if (/^(host|hostaddr|user)$/i.test(key)) {
                 throw new Error(`connection string carries a ?${key}= override — the effective server/identity would ` +
                     `differ from the URL authority that identity checks inspect. Use a plain connection string.`);
             }
+            if (isSupabasePooler && /^options$/i.test(key)) {
+                throw new Error("connection string carries ?options= on a Supabase pooler host — the pooler reads a tenant override " +
+                    "(reference=…) from it, so identity checks could not trust the username. Remove ?options= entirely.");
+            }
         }
     }
     catch (error) {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "backupdrill",
-  "version": "2.1.1",
+  "version": "2.1.3",
   "description": "Open-source CLI to back up a Supabase project — Postgres database and Storage files — to your own S3/R2/B2 bucket, with a checksummed manifest.",
   "type": "module",
   "bin": {