Nível 3 (Dados, injeção & RLS)

Explique, no padrão entrada → processamento → saída, por que um XSS acontece.

Qual a diferença entre a anon key e a service_role key do Supabase? Qual nunca pode ir ao cliente?

(V/F) "Se a API valida tudo, não preciso de RLS no banco." Justifique com o conceito de defesa em profundidade.

Um formulário aceita preço vindo do cliente e cobra esse valor. Que princípio foi violado e qual a correção?

O que é mass assignment e como uma allowlist de campos o previne?

Por que ler nome + WhatsApp de leads via anon key é um problema legal (não só técnico)?

(Aplicação) Escreva (em linguagem natural) a policy de RLS correta para content_items.