Bảo mật dữ liệu cấp hàng trong Supabase với Row Level Security

CREATE POLICY policy_name ON table_name
    FOR { ALL | SELECT | INSERT | UPDATE | DELETE }
    [ TO role_name ]
    [ USING ( condition ) ]
    [ WITH CHECK ( condition ) ];

-- Cho phép người dùng xem thông tin của chính họ
CREATE POLICY "Users can view own profile"
ON profiles
FOR SELECT
USING ( auth.uid() = id );

-- Cho phép người dùng cập nhật thông tin của chính họ
CREATE POLICY "Users can update own profile"
ON profiles
FOR UPDATE
USING ( auth.uid() = id )
WITH CHECK ( auth.uid() = id );

-- profiles table
id (UUID) | name (text) | email (text) | updated_at (timestamptz)

Bạn muốn:
– Người dùng chỉ xem/sửa hồ sơ của chính họ.
– Admin xem/sửa mọi hồ sơ.

Policy cho người dùng thường:

-- SELECT
CREATE POLICY "Users can view own profile"
ON profiles
FOR SELECT
USING ( auth.uid() = id );

-- UPDATE
CREATE POLICY "Users can update own profile"
ON profiles
FOR UPDATE
USING ( auth.uid() = id )
WITH CHECK ( auth.uid() = id );

Policy cho admin:

-- SELECT cho admin
CREATE POLICY "Admins can view all profiles"
ON profiles
FOR SELECT
TO authenticated
USING ( auth.role() = 'admin' OR auth.uid() = id );

-- UPDATE cho admin
CREATE POLICY "Admins can update any profile"
ON profiles
FOR UPDATE
TO authenticated
USING ( auth.role() = 'admin' )
WITH CHECK ( auth.role() = 'admin' );

Với cách này, admin có quyền cao nhất, trong khi người dùng thường chỉ thao tác trên bản ghi của mình.

Mẹo và lưu ý khi sử dụng RLS

– Luôn bật RLS cho bảng chứa dữ liệu nhạy cảm. Mặc định, nếu không có policy, mọi truy cập đều bị từ chối.
– Test policy kỹ lưỡng. Sử dụng SQL Editor trong Supabase để thử các truy vấn với các role khác nhau.
– Sử dụng auth.uid() và auth.role() để lấy thông tin người dùng hiện tại.
– Kết hợp với Row Level Security và Row Level Security Policies để đảm bảo an toàn tối đa.
– Backup policy trước khi thay đổi lớn, vì policy sai có thể khóa toàn bộ dữ liệu.

Kết luận

Row Level Security trong Supabase là công cụ mạnh mẽ giúp bạn bảo vệ dữ liệu ở cấp độ chi tiết nhất. Bằng cách định nghĩa policy rõ ràng, bạn đảm bảo mỗi người dùng chỉ thấy những gì họ được phép, giảm thiểu rủi ro rò rỉ thông tin. Việc kết hợp giữa giao diện trực quan và SQL linh hoạt của Supabase giúp RLS trở nên dễ tiếp cận, ngay cả với những người mới bắt đầu.

Để tìm hiểu sâu hơn, bạn có thể tham khảo tài liệu chính thức của Supabase về Row Level Security và thử nghiệm trên dự án thực tế của mình.