Voi configura securitatea la nivel de rând PostgreSQL, astfel încât fiecare utilizator să vadă doar propriile date, inclusiv Supabase

Orice aplicație cu conturi de utilizator, planuri plătite sau mai multe echipe într-o singură bază de date trebuie să decidă cine poate vedea ce rânduri. Dacă această regulă există doar în codul aplicației, ea eșuează prima dată când cineva accesează datele într-un alt mod: un nou punct final pe care cineva a uitat să-l protejeze, o a doua aplicație pe aceeași bază de date sau API-ul pe care Supabase îl generează pentru tabelele dvs. Securitatea la nivel de rând plasează regula acolo unde sunt datele.

Am făcut acest lucru pe un produs de abonament sub NDA: politici de securitate la nivel de rând pe tabele și un rol de bază de date separat pentru fiecare nivel de abonament, astfel încât ceea ce include un plan este impus de PostgreSQL, nu de o verificare pe care cineva ar putea-o uita.

În Starter, revizuiesc politicile pe care până la cinci tabele le au sau le lipsesc și trimit o listă scrisă de lacune, cu o interogare exemplu care arată fiecare. Standard scrie sau repară politici pe până la zece tabele, configurează rolurile de care are nevoie aplicația dvs., le livrează ca fișiere de migrare și adaugă teste în care utilizatorul A încearcă să citească și să modifice rândurile utilizatorului B și eșuează. Avansat acoperă până la douăzeci și cinci de tabele, adaugă limite de plan sau nivel impuse în baza de date și rulează testele în CI.

Pe Supabase, se aplică aceleași caracteristici PostgreSQL, cu auth.uid() și revendicările JWT utilizate în cadrul politicilor. Pe PostgreSQL simplu, politicile citesc utilizatorul curent dintr-o setare de sesiune pe care backend-ul dvs. o setează pentru fiecare cerere.

Fără apeluri. Fiecare pachet se încheie cu o notă în limbaj simplu despre cine poate vedea ce; pe Standard și Avansat, politicile sosesc și ca migrații în depozitul dvs., împreună cu testele. Timp de 14 zile după livrare, repar orice nu funcționează conform înțelegerii noastre, gratuit.

Pași pentru finalizarea proiectului dvs.
1. Cartografierea datelor - Listez tabelele, cine deține fiecare rând și cine ar trebui să-l citească sau să-l modifice: proprietari, membri ai echipei, administratori, fiecare plan.
2. Revizuirea a ceea ce există - Politicile curente, permisiunile și rolurile sunt verificate în raport cu acea hartă, iar fiecare lacună este notată cu o interogare care o arată.
3. Politici și roluri - Politicile sunt scrise pe tabel și pe acțiune, cu roluri pentru planuri sau echipe, ca fișiere de migrare pe care le puteți revizui.
4. Demonstrați - Testele se conectează ca utilizatori diferiți și încearcă să citească și să modifice datele celorlalți. Fiecare acțiune interzisă trebuie să eșueze, iar fiecare acțiune permisă trebuie să funcționeze.
5. Predare - O scurtă notă în cuvinte simple despre cine poate vedea ce, migrațiile și cum să adăugați o politică atunci când apare un tabel nou.