Mən PostgreSQL səviyyəsində təhlükəsizliyi quracağam ki, hər bir istifadəçi yalnız öz məlumatlarını görsün, Supabase daxil olmaqla

İstifadəçi hesabları, ödənişli planlar və ya bir verilənlər bazasında bir neçə komandası olan hər hansı bir tətbiq kimin hansı sətirləri görə biləcəyinə qərar verməlidir. Əgər bu qayda yalnız tətbiq kodunda yaşayırsa, kimsə məlumatlara başqa yolla çatdığı ilk dəfə uğursuz olur: kimsə qorumağı unutduğu yeni bir son nöqtə, eyni verilənlər bazasında ikinci bir tətbiq və ya Supabase-in cədvəlləriniz üçün yaratdığı API. Sətir səviyyəli təhlükəsizlik qaydanı məlumatların olduğu yerə qoyur.

Mən bunu NDA altında olan abunə məhsulunda etmişəm: cədvəllərdə sətir səviyyəli təhlükəsizlik siyasətləri və hər abunə səviyyəsi üçün ayrı bir verilənlər bazası rolu, beləliklə, planın nəyi əhatə etdiyi PostgreSQL tərəfindən tətbiq edilir, kimsə unuda biləcəyi bir yoxlama ilə deyil.

Starter paketində mən beş cədvələ qədər olan və ya olmayan siyasətləri nəzərdən keçirirəm və hər birini göstərən nümunə sorğu ilə boşluqların yazılı siyahısını göndərirəm. Standart paket on cədvələ qədər siyasətləri yazır və ya düzəldir, tətbiqinizin ehtiyac duyduğu rolları qurur, onları miqrasiya faylları kimi çatdırır və istifadəçi A-nın istifadəçi B-nin sətirlərini oxumağa və dəyişməyə çalışdığı və uğursuz olduğu testlər əlavə edir. Qabaqcıl paket iyirmi beş cədvələ qədər əhatə edir, verilənlər bazasında tətbiq olunan plan və ya səviyyə limitləri əlavə edir və testləri CI-də işlədir.

Supabase-də eyni PostgreSQL xüsusiyyətləri, auth.uid() və siyasətlər daxilində istifadə olunan JWT iddiaları ilə tətbiq olunur. Adi PostgreSQL-də siyasətlər cari istifadəçini arxa tərəfinizdə hər sorğu üçün təyin etdiyi sessiya parametrindən oxuyur.

Zənglər yoxdur. Hər paket kimin nəyi görə biləcəyi barədə sadə dildə bir qeydlə başa çatır; Standart və Qabaqcıl paketlərdə siyasətlər də testlərlə birlikdə depolarınızda miqrasiyalar kimi gəlir. Çatdırılmadan 14 gün sonra, razılaşdığımız kimi işləməyən hər şeyi pulsuz düzəldirəm.

Layihənizi tamamlamaq üçün addımlar
1. Məlumatları xəritələndirin - Mən cədvəlləri, hər sətrin sahibini və kimin onu oxumalı və ya dəyişdirməli olduğunu siyahıya alıram: sahiblər, komanda üzvləri, administratorlar, hər plan.
2. Mövcud olanları nəzərdən keçirin - Cari siyasətlər, qrantlar və rollar bu xəritəyə qarşı yoxlanılır və hər boşluq onu göstərən bir sorğu ilə yazılır.
3. Siyasətlər və rollar - Siyasətlər cədvəl və hər hərəkət üçün, planlar və ya komandalar üçün rollarla, nəzərdən keçirə biləcəyiniz miqrasiya faylları kimi yazılır.
4. Sübut edin - Testlər müxtəlif istifadəçilər kimi daxil olur və bir-birinin məlumatlarını oxumağa və dəyişməyə çalışır. Hər qadağan olunmuş hərəkət uğursuz olmalı, hər icazə verilən hərəkət isə işləməlidir.
5. Təhvil - Kimin nəyi görə biləcəyi barədə sadə sözlərlə qısa bir qeyd, miqrasiyalar və yeni bir cədvəl göründükdə siyasəti necə əlavə etmək barədə.