Munaf Khatri：Supabase 只是 HIPAA 合规的一部分
内容提要
文章指出，Supabase仅承担HIPAA合规中的平台部分，包括签署BAA、启用高合规项目以及加密和安全设置；行级安全策略、函数、审计表等仍由用户负责。作者介绍工具unitautogen hipaa，可在本地生成测试，检查访问控制、审计日志、防篡改及身份验证，并输出带哈希的HTML报告作为审计证据，建议在架构变更时运行。
延伸解读
共享责任模型下的合规边界
文章强调 Supabase 的共享责任模型：平台负责加密、BAA 签署、项目设置检查等，但行级安全策略、函数和审计表等仍由用户负责。这意味着即使启用了高合规项目，HIPAA 审查仍会追问访问控制、审计日志和防篡改等细节。读者需明确平台与自身责任的划分，避免误以为平台合规即整体合规。
HIPAA 安全规则的具体映射
文章将数据库层面的合规要求映射到 HIPAA 安全规则的具体条款：访问控制对应 164.312(a)(1)，审计控制对应 164.312(b)，完整性对应 164.312(c)(1)，身份验证对应 164.312(d)，定期评估对应 164.308(a)(8)。这些条款要求确保只有授权人员能访问 PHI、记录所有变更、防止不当篡改，并定期评估。在 Supabase 上，这些大多依赖用户编写的 SQL 来实现。
unitautogen hipaa 的检查范围与局限
工具 unitautogen hipaa 可在本地生成测试，检查访问控制（如函数是否绕过行策略）、审计日志（增删改是否留痕）、防篡改（客户端角色能否修改审计表）和身份验证（auth.uid() 等是否可被篡改），并输出带哈希的 HTML 报告作为审计证据。但报告仅作为证据，不提供认证，不检查加密和传输，也无法判断策略设计是否正确。用户仍需自行完成风险分析、书面政策和 BAA。
将合规检查融入开发流程
文章建议在架构变更时运行该工具，例如在 GitHub Action 中与 supabase test db 一起执行，并将带日期的报告保留为构建产物。这样可覆盖定期评估的要求，避免审计前临时应对。由于工具使用本地数据库（由迁移构建），不涉及患者数据，适合在 CI 中安全运行。
Q&A
Supabase 的 HIPAA 合规中，平台负责哪些部分？
Supabase 负责签署 BAA、将项目设置为高合规模式，并提供静态和传输加密、时间点恢复、SSL 强制、网络限制、Postgres 连接日志以及多账户 MFA 等安全设置。安全顾问会警告这些设置被关闭。
使用 Supabase 时，用户自己需要负责哪些 HIPAA 合规内容？
用户需要负责行级安全策略（RLS）、函数、审计表等。具体包括：控制谁可以访问哪些患者行（访问控制）、记录对数据的所有更改（审计控制）、防止数据被篡改（完整性），以及验证身份（认证）。这些大多体现在用户编写的 SQL 中。
unitautogen hipaa 工具是做什么的？
unitautogen hipaa 是一个本地测试工具，用于检查 Supabase 项目中的访问控制、审计日志、防篡改和身份验证。它生成测试和所需数据行，运行后回滚，输出带哈希的 HTML 报告作为审计证据。
unitautogen hipaa 具体检查哪些安全项？
它检查：1) 访问控制：以两个不同租户身份调用函数、视图和触发器，检测是否越权访问；2) 审计日志：对每个 PHI 表的插入、更新、删除操作，检查是否留下审计记录；3) 防篡改：检查客户端角色能否编辑、删除或伪造审计表行；4) 身份验证：检查客户端会话能否更改 auth.uid() 和 auth.jwt() 的返回值。
如何将 unitautogen hipaa 集成到开发流程中？
在架构变更时运行。可以将 hipaa 命令添加到已有的 GitHub Action 中（该 Action 运行 supabase test db），并将带日期的报告保留为构建产物。这样就能覆盖定期评估的要求，无需在审计前匆忙准备。
unitautogen hipaa 有哪些局限性？
它不提供认证，只是给审计员的证据；不检查加密和传输（由 Supabase 处理）；不能审查日志；不能判断策略是否正确——如果策略设计错误，报告只会说数据库执行了它。风险分析、书面政策和 BAA 仍需用户自己负责。
