Her kullanıcı yalnızca kendi verilerini görecek şekilde PostgreSQL satır düzeyinde güvenliği ayarlayacağım, Supabase dahil

Kullanıcı hesapları, ücretli planlar veya tek bir veritabanında birden fazla ekibe sahip herhangi bir uygulama, hangi satırları kimin görebileceğine karar vermek zorundadır. Bu kural yalnızca uygulama kodunda yaşarsa, birisi verilere başka bir yoldan ulaştığında başarısız olur: birisinin korumayı unuttuğu yeni bir uç nokta, aynı veritabanında ikinci bir uygulama veya Supabase'in tablolarınız için oluşturduğu API. Satır düzeyinde güvenlik, kuralı verinin olduğu yere koyar.

Bunu bir abonelik ürününde NDA altında yaptım: tablolarda satır düzeyinde güvenlik politikaları ve her abonelik katmanı için ayrı bir veritabanı rolü, böylece bir planın neleri içerdiği PostgreSQL tarafından uygulanır, birisinin unutabileceği bir kontrol tarafından değil.

Başlangıç seviyesinde, en fazla beş tablonun sahip olduğu veya eksik olduğu politikaları incelerim ve her birini gösteren örnek bir sorguyla birlikte yazılı bir boşluk listesi gönderirim. Standart, en fazla on tablo üzerinde politikaları yazar veya düzeltir, uygulamanızın ihtiyaç duyduğu rolleri ayarlar, bunları geçiş dosyaları olarak teslim eder ve kullanıcı A'nın kullanıcı B'nin satırlarını okumaya ve değiştirmeye çalıştığı ve başarısız olduğu testler ekler. Gelişmiş, en fazla yirmi beş tabloyu kapsar, veritabanında uygulanan plan veya katman limitleri ekler ve testleri CI'da çalıştırır.

Supabase'de, aynı PostgreSQL özellikleri, politikalar içinde auth.uid() ve JWT iddiaları kullanılarak uygulanır. Düz PostgreSQL'de, politikalar mevcut kullanıcıyı arka ucunuzun her istek için ayarladığı bir oturum ayarından okur.

Çağrı yok. Her paket, kimin neyi görebileceği hakkında açık dilde bir notla biter; Standart ve Gelişmiş'te, politikalar da testlerle birlikte deponuzda geçişler olarak gelir. Teslimattan sonra 14 gün boyunca, anlaştığımız gibi çalışmayan her şeyi ücretsiz olarak düzeltirim.

Projenizi tamamlama adımları
1. Verileri haritalayın - Tabloları, her satırın sahibini ve kimin okuması veya değiştirmesi gerektiğini listelerim: sahipler, ekip üyeleri, yöneticiler, her plan.
2. Mevcut olanı inceleyin - Mevcut politikalar, izinler ve roller bu haritaya göre kontrol edilir ve her boşluk, onu gösteren bir sorguyla birlikte yazılır.
3. Politikalar ve roller - Politikalar tablo başına ve eylem başına yazılır, planlar veya ekipler için rollerle birlikte, inceleyebileceğiniz geçiş dosyaları olarak.
4. Kanıtlayın - Testler farklı kullanıcılar olarak oturum açar ve birbirlerinin verilerini okumaya ve değiştirmeye çalışır. Her yasaklanmış eylem başarısız olmalı ve her izin verilen eylem çalışmalıdır.
5. Devir - Kimin neyi görebileceği, geçişler ve yeni bir tablo göründüğünde bir politikanın nasıl ekleneceği hakkında açık sözlerle kısa bir not.