核心用法
Alibaba Cloud RDS Supabase Skill 基于阿里云 RDS AI Service OpenAPI（2025-05-07 版），提供对 Supabase 托管实例的全生命周期管理能力。用户可通过该工具完成实例创建、启停、重启、删除，以及认证配置（auth）、存储策略（storage）、RAG 知识库设置、SSL 加密和 IP 白名单等安全管控。
关键操作流程：
1. 凭证准备：优先使用环境变量 ALICLOUD_ACCESS_KEY_ID / ALICLOUD_ACCESS_KEY_SECRET 配置最小权限 RAM 凭据，支持标准凭证文件作为降级方案。
2. 区域策略：未指定区域时自动选择合理可用区，或主动询问用户；全区域查询需显式授权。
3. 操作分类：
- 实例管理：
CreateAppInstance、StartInstance、StopInstance、RestartInstance、DeleteAppInstance - 连接与认证：
DescribeInstanceEndpoints、DescribeInstanceAuthInfo、ModifyInstanceAuthConfig - 存储配置：
DescribeInstanceStorageConfig、ModifyInstanceStorageConfig - RAG 配置：
DescribeInstanceRAGConfig、ModifyInstanceRAGConfig - 安全管控：
DescribeInstanceIpWhitelist、ModifyInstanceIpWhitelist、DescribeInstanceSSL、ModifyInstanceSSL
执行规范：所有变更操作前需先执行最小只读查询验证权限与连通性；输出结果持久化至 output/alicloud-database-rds-supabase/ 目录，包含关键参数（区域、资源 ID、时间范围）以确保可复现。
显著优点
- 官方 API 原生支持：直接对接阿里云 RDS AI Service，非第三方封装，功能覆盖完整。
- 安全优先设计：强制最小权限原则，优先环境变量注入，避免敏感信息硬编码；支持 SSL/IP 白名单多层防护。
- 结构化工作流：标准化「确认意图→验证权限→执行操作→验证结果」四步流程，降低误操作风险。
- 可审计输出：所有操作输出归档至指定目录，便于合规审计与问题追溯。
潜在局限与风险
- 依赖 AK/SK 管理：用户若未正确配置环境变量或误用高权限凭据，存在密钥泄露风险。
- 区域决策复杂性：自动选择区域可能不符合业务合规要求，需用户主动确认。
- OpenAPI 签名门槛：RPC 风格签名需依赖官方 SDK 或 OpenAPI Explorer，自定义实现易出错。
- 实例状态敏感：启停、重启类操作对线上业务有直接影响，缺乏前置业务影响评估机制。
适合人群
- 需要托管 PostgreSQL + Supabase 能力但希望减少基础设施运维的中小型企业 DevOps/DBA
- 已在阿里云生态内运行、需统一管控多区域数据库实例的云计算工程师
- 需要快速配置 RAG 知识库后端存储的 AI 应用开发者
常规风险
| 风险类型 | 说明与缓解 |
|---------|-----------|
| 密钥泄露 | 禁止在代码中硬编码 AK/SK；优先使用环境变量或托管身份（RRSA） |
| 误删实例 | 执行 `DeleteAppInstance` 前强制要求用户二次确认实例 ID 与区域 |
| 网络暴露 | `ModifyInstanceIpWhitelist` 操作前需确认当前 IP 白名单状态，避免过度开放 |
| SSL 配置中断 | 修改 SSL 参数可能导致连接中断，建议低峰期执行并预先通知应用方 |
| 全区域遍历 | 未授权的全区域查询可能触发 API 限流，需用户显式批准 |