მე დავაყენებ PostgreSQL-ის სტრიქონების დონეზე უსაფრთხოებას, რათა თითოეულმა მომხმარებელმა ნახოს მხოლოდ საკუთარი მონაცემები, Supabase-ის ჩათვლით

ნებისმიერ აპლიკაციას მომხმარებლის ანგარიშებით, ფასიანი გეგმებით ან რამდენიმე გუნდით ერთ მონაცემთა ბაზაში უნდა გადაწყვიტოს, ვის შეუძლია ნახოს რომელი რიგები. თუ ეს წესი მხოლოდ აპლიკაციის კოდშია, ის ვერ ხერხდება პირველად, როდესაც ვინმე მონაცემებს სხვა გზით მიწვდება: ახალი ბოლო წერტილი, რომელიც ვინმეს დაავიწყდა დაცვა, მეორე აპლიკაცია იმავე მონაცემთა ბაზაზე, ან API, რომელსაც Supabase ქმნის თქვენი ცხრილებისთვის. რიგის დონის უსაფრთხოება წესს ათავსებს იქ, სადაც მონაცემებია.

მე ეს გავაკეთე სააბონენტო პროდუქტზე NDA-ის ქვეშ: რიგის დონის უსაფრთხოების პოლიტიკები ცხრილებზე და ცალკე მონაცემთა ბაზის როლი თითოეული სააბონენტო დონისთვის, ასე რომ, რასაც გეგმა მოიცავს, აღსრულდება PostgreSQL-ის მიერ და არა შემოწმებით, რომელიც ვინმეს შეიძლება დაავიწყდეს.

Starter-ში, მე ვამოწმებ პოლიტიკებს, რომლებიც ხუთამდე ცხრილს აქვს ან აკლია და ვაგზავნი ხარვეზების წერილობით სიას, მაგალითი მოთხოვნით, რომელიც აჩვენებს თითოეულს. Standard წერს ან ასწორებს პოლიტიკებს ათამდე ცხრილზე, აყენებს როლებს, რომლებიც თქვენს აპლიკაციას სჭირდება, აწვდის მათ მიგრაციის ფაილების სახით და ამატებს ტესტებს, რომლებშიც მომხმარებელი A ცდილობს წაიკითხოს და შეცვალოს მომხმარებელი B-ის რიგები და ვერ ხერხდება. Advanced მოიცავს ოცდახუთამდე ცხრილს, ამატებს გეგმის ან დონის ლიმიტებს, რომლებიც აღსრულდება მონაცემთა ბაზაში და აწარმოებს ტესტებს CI-ში.

Supabase-ზე, იგივე PostgreSQL ფუნქციები გამოიყენება, auth.uid()-ისა და JWT მოთხოვნების გამოყენებით პოლიტიკებში. ჩვეულებრივ PostgreSQL-ზე, პოლიტიკები კითხულობენ მიმდინარე მომხმარებელს სესიის პარამეტრიდან, რომელსაც თქვენი ბექენდი აყენებს თითოეული მოთხოვნისთვის.

ზარები არ არის. თითოეული პაკეტი მთავრდება მარტივი ენის შენიშვნით, თუ ვინ რას ხედავს; სტანდარტულ და გაფართოებულ ვერსიებში, პოლიტიკები ასევე მოდის მიგრაციების სახით თქვენს საცავში, ტესტებთან ერთად. მიწოდებიდან 14 დღის განმავლობაში, მე ვასწორებ ყველაფერს, რაც არ მუშაობს შეთანხმებისამებრ, უფასოდ.

თქვენი პროექტის დასრულების ნაბიჯები
1. მონაცემების რუკა - მე ვადგენ ცხრილებს, ვინ ფლობს თითოეულ რიგს და ვინ უნდა წაიკითხოს ან შეცვალოს იგი: მფლობელები, გუნდის წევრები, ადმინისტრატორები, თითოეული გეგმა.
2. არსებულის მიმოხილვა - მიმდინარე პოლიტიკები, გრანტები და როლები მოწმდება ამ რუკის მიხედვით, და ყოველი ხარვეზი იწერება მოთხოვნით, რომელიც მას აჩვენებს.
3. პოლიტიკები და როლები - პოლიტიკები იწერება ცხრილისა და მოქმედების მიხედვით, გეგმების ან გუნდების როლებით, როგორც მიგრაციის ფაილები, რომელთა განხილვაც შეგიძლიათ.
4. დაამტკიცეთ - ტესტები შედიან სისტემაში სხვადასხვა მომხმარებლის სახით და ცდილობენ წაიკითხონ და შეცვალონ ერთმანეთის მონაცემები. ყოველი აკრძალული მოქმედება უნდა ვერ მოხდეს, და ყოველი ნებადართული უნდა იმუშაოს.
5. გადაცემა - მოკლე შენიშვნა მარტივი სიტყვებით, თუ ვინ რას ხედავს, მიგრაციები და როგორ დაამატოთ პოლიტიკა, როდესაც ახალი ცხრილი გამოჩნდება.