Protecting Supabase projects from NPM supply chain attacks

- SupabaseはFirebaseの代替を目指すオープンソースのBaaS（Backend as a Service）プラットフォーム。PostgreSQLをベースに、認証・ストレージ・リアルタイム機能などを提供する。 - npmはJavaScriptのパッケージ管理システム。誰でも公開できるエコシステムの特性上、悪意あるコードを仕込んだパッケージ（依存関係の乗っ取りや偽装パッケージ）によるサプライチェーン攻撃が増加している。 - 今回Supabaseが発表したのは、npmパッケージの公開時に「鎖マーク」の認証バッジを表示する仕組み。Supabaseの公式GitHubリポジトリが発行する署名付き証明書（OpenID Connectベース）で検証し、ユーザーが悪質な偽パッケージを誤ってインストールしないよう保護する。 - 同種の取り組みは他社でも進んでおり、GoogleやGitHubがSigstoreなどの枠組みでパッケージ署名を推進している。Supabaseの発表はその流れに沿ったもので、特に同プラットフォームのSDK利用者にとって実用的なセキュリティ強化となる。