Ես կկարգավորեմ PostgreSQL-ի տողերի մակարդակի անվտանգությունը, որպեսզի յուրաքանչյուր օգտատեր տեսնի միայն իր տվյալները, ներառյալ Supabase-ը։

Ցանկացած հավելված, որն ունի օգտատիրական հաշիվներ, վճարովի պլաններ կամ մի քանի թիմեր մեկ տվյալների բազայում, պետք է որոշի, թե ով կարող է տեսնել որ տողերը։ Եթե այդ կանոնը գոյություն ունի միայն հավելվածի կոդում, այն ձախողվում է առաջին անգամ, երբ ինչ-որ մեկը տվյալներին հասնում է այլ կերպ՝ նոր վերջնակետ, որը ինչ-որ մեկը մոռացել է պաշտպանել, երկրորդ հավելվածը նույն տվյալների բազայում կամ API-ն, որը Supabase-ը ստեղծում է ձեր աղյուսակների համար։ Տողերի մակարդակի անվտանգությունը կանոնը դնում է այնտեղ, որտեղ գտնվում են տվյալները։

Ես դա արել եմ բաժանորդագրության արտադրանքի վրա NDA-ի ներքո. տողերի մակարդակի անվտանգության քաղաքականություններ աղյուսակների վրա և առանձին տվյալների բազայի դեր յուրաքանչյուր բաժանորդագրության մակարդակի համար, այնպես որ այն, ինչ ներառում է պլանը, կիրառվում է PostgreSQL-ի կողմից, այլ ոչ թե ստուգումով, որը ինչ-որ մեկը կարող է մոռանալ։

Starter-ում ես վերանայում եմ մինչև հինգ աղյուսակների քաղաքականությունները, որոնք դրանք ունեն կամ չունեն, և ուղարկում եմ բացերի գրավոր ցուցակ՝ յուրաքանչյուրը ցույց տվող օրինակ հարցումով։ Standard-ը գրում կամ շտկում է քաղաքականություններ մինչև տասը աղյուսակների վրա, կարգավորում է ձեր հավելվածին անհրաժեշտ դերերը, դրանք մատուցում է որպես միգրացիոն ֆայլեր և ավելացնում է թեստեր, որոնցում օգտատեր A-ն փորձում է կարդալ և փոփոխել օգտատեր B-ի տողերը և ձախողվում է։ Advanced-ը ներառում է մինչև քսանհինգ աղյուսակ, ավելացնում է պլանավորման կամ մակարդակի սահմանափակումներ, որոնք կիրառվում են տվյալների բազայում, և թեստերը գործարկում է CI-ում։

Supabase-ում կիրառվում են նույն PostgreSQL-ի հնարավորությունները՝ auth.uid() և JWT պահանջները, որոնք օգտագործվում են քաղաքականությունների ներսում։ Սովորական PostgreSQL-ում քաղաքականությունները կարդում են ընթացիկ օգտատիրոջը նիստի կարգավորումից, որը ձեր backend-ը սահմանում է յուրաքանչյուր հարցման համար։

Զանգեր չկան։ Յուրաքանչյուր փաթեթ ավարտվում է հասարակ լեզվով նշումով, թե ով ինչ կարող է տեսնել. Standard և Advanced տարբերակներում քաղաքականությունները նույնպես ներկայացվում են որպես միգրացիաներ ձեր պահոցում՝ թեստերի հետ միասին։ Առաքումից հետո 14 օրվա ընթացքում ես անվճար շտկում եմ այն ամենը, ինչ չի աշխատում մեր համաձայնեցրածի պես։

Ձեր նախագծի ավարտման քայլերը
1. Տվյալների քարտեզագրում - Ես թվարկում եմ աղյուսակները, թե ով է տիրապետում յուրաքանչյուր տողին, և ով պետք է կարդա կամ փոփոխի այն՝ սեփականատերերը, թիմի անդամները, ադմինիստրատորները, յուրաքանչյուր պլան։
2. Գոյություն ունեցողի վերանայում - Ընթացիկ քաղաքականությունները, թույլտվությունները և դերերը ստուգվում են այդ քարտեզի դեմ, և յուրաքանչյուր բաց գրվում է այն ցույց տվող հարցումով։
3. Քաղաքականություններ և դերեր - Քաղաքականությունները գրվում են ըստ աղյուսակի և ըստ գործողության՝ պլանների կամ թիմերի համար դերերով, որպես միգրացիոն ֆայլեր, որոնք կարող եք վերանայել։
4. Ապացուցել - Թեստերը մուտք են գործում որպես տարբեր օգտատերեր և փորձում են կարդալ և փոփոխել միմյանց տվյալները։ Յուրաքանչյուր արգելված գործողություն պետք է ձախողվի, և յուրաքանչյուր թույլատրված գործողություն պետք է աշխատի։
5. Հանձնում - Կարճ նշում հասարակ բառերով, թե ով ինչ կարող է տեսնել, միգրացիաները և ինչպես ավելացնել քաղաքականություն, երբ նոր աղյուսակ է հայտնվում։