仅当用户具有确切的文档 ID postgresql 行级安全性/supabase 时才允许读取

Question

有没有办法让用户只有在拥有确切的文档 ID 时才能阅读文档？

我想避免创建用户，因此唯一的安全措施是保存在浏览器内存中的随机 guid - 设置将保存在 id=guid 的“设置”表中。

因此，当页面打开时，它将获取

supbase.from('settings').select('*').eq('id', guid)

如何保护该设置（不创建（虚拟）用户）

像这样在 Firebase 中： Firebase firestore only allow read if user has exact document ID 但对于 postgresql/supabase

Answer 1

这是可行的，但我会：

1. 禁止anon 用户通过 RLS 访问表（从 RLS 策略返回 false）
2. 使用security definer 编写一个postgres 函数，该函数将uuid 作为参数，并且仅根据该参数从表中返回一行。 （如果该行不存在，则不返回任何内容）
3. 使用 supabase .rpc() 格式调用函数。