Saya akan menyediakan keselamatan peringkat baris PostgreSQL supaya setiap pengguna hanya melihat data mereka sendiri, termasuk Supabase

Mana-mana aplikasi dengan akaun pengguna, pelan berbayar atau beberapa pasukan dalam satu pangkalan data perlu memutuskan siapa yang boleh melihat baris mana. Jika peraturan itu hanya terdapat dalam kod aplikasi, ia gagal kali pertama seseorang mencapai data dengan cara lain: titik akhir baharu yang seseorang terlupa untuk mengawal, aplikasi kedua pada pangkalan data yang sama, atau API yang Supabase hasilkan untuk jadual anda. Keselamatan peringkat baris meletakkan peraturan di mana data berada.

Saya telah melakukan ini pada produk langganan di bawah NDA: dasar keselamatan peringkat baris pada jadual dan peranan pangkalan data yang berasingan untuk setiap peringkat langganan, jadi apa yang termasuk dalam pelan dikuatkuasakan oleh PostgreSQL, bukan oleh semakan yang mungkin dilupakan oleh seseorang.

Dalam Starter, saya menyemak dasar yang dimiliki atau tidak dimiliki oleh sehingga lima jadual dan menghantar senarai jurang bertulis, dengan contoh pertanyaan yang menunjukkan setiap satu. Standard menulis atau membetulkan dasar pada sehingga sepuluh jadual, menyediakan peranan yang diperlukan oleh aplikasi anda, menghantarnya sebagai fail migrasi, dan menambah ujian di mana pengguna A cuba membaca dan mengubah baris pengguna B dan gagal. Lanjutan meliputi sehingga dua puluh lima jadual, menambah had pelan atau peringkat yang dikuatkuasakan dalam pangkalan data, dan menjalankan ujian dalam CI.

Pada Supabase, ciri PostgreSQL yang sama terpakai, dengan auth.uid() dan tuntutan JWT digunakan dalam dasar. Pada PostgreSQL biasa, dasar membaca pengguna semasa daripada tetapan sesi yang ditetapkan oleh bahagian belakang anda untuk setiap permintaan.

Tiada panggilan. Setiap pakej berakhir dengan nota bahasa biasa tentang siapa yang boleh melihat apa; pada Standard dan Lanjutan, dasar juga tiba sebagai migrasi dalam repositori anda, bersama-sama dengan ujian. Untuk 14 hari selepas penghantaran, saya membetulkan apa-apa yang tidak berfungsi seperti yang kita persetujui, secara percuma.

Langkah-langkah untuk menyelesaikan projek anda
1. Memetakan data - Saya menyenaraikan jadual, siapa yang memiliki setiap baris, dan siapa yang harus membaca atau mengubahnya: pemilik, ahli pasukan, pentadbir, setiap pelan.
2. Menyemak apa yang ada - Dasar, geran dan peranan semasa disemak terhadap peta itu, dan setiap jurang ditulis dengan pertanyaan yang menunjukkannya.
3. Dasar dan peranan - Dasar ditulis mengikut jadual dan mengikut tindakan, dengan peranan untuk pelan atau pasukan, sebagai fail migrasi yang boleh anda semak.
4. Buktikan - Ujian log masuk sebagai pengguna yang berbeza dan cuba membaca dan mengubah data masing-masing. Setiap tindakan yang dilarang mesti gagal, dan setiap tindakan yang dibenarkan mesti berfungsi.
5. Penyerahan - Nota ringkas dalam perkataan biasa tentang siapa yang boleh melihat apa, migrasi, dan cara menambah dasar apabila jadual baharu muncul.