Xây Supabase riêng với Next.js, Prisma, PostgreSQL và S3

src/
  app/
    api/
    dashboard/
    login/
  lib/
    auth.ts
    prisma.ts
    s3.ts
    permissions.ts
  server/
    users.ts
    files.ts
    organizations.ts
prisma/
  schema.prisma
  migrations/

// src/lib/prisma.ts
import { PrismaClient } from "@prisma/client";

const globalForPrisma = globalThis as unknown as {
  prisma?: PrismaClient;
};

export const prisma =
  globalForPrisma.prisma ??
  new PrismaClient({
    log: ["query", "error", "warn"],
  });

if (process.env.NODE_ENV !== "production") {
  globalForPrisma.prisma = prisma;
}

model User {
  id        String   @id @default(cuid())
  email     String   @unique
  name      String?
  createdAt DateTime @default(now())
  updatedAt DateTime @updatedAt

memberships Membership[]
  files       File[]
}

model Organization {
  id        String   @id @default(cuid())
  name      String
  slug      String   @unique
  createdAt DateTime @default(now())

memberships Membership[]
  files       File[]
}

model Membership {
  id             String @id @default(cuid())
  userId         String
  organizationId String
  role           Role   @default(MEMBER)

user         User         @relation(fields: [userId], references: [id], onDelete: Cascade)
  organization Organization @relation(fields: [organizationId], references: [id], onDelete: Cascade)

@@unique([userId, organizationId])
  @@index([organizationId])
}

model File {
  id             String   @id @default(cuid())
  key            String   @unique
  bucket         String
  filename       String
  contentType    String
  size           Int
  userId         String
  organizationId String?
  createdAt      DateTime @default(now())

user         User          @relation(fields: [userId], references: [id])
  organization Organization? @relation(fields: [organizationId], references: [id])

@@index([userId])
  @@index([organizationId])
}

enum Role {
  OWNER
  ADMIN
  MEMBER
}

Nguyên tắc schema

– Dùng foreign key để giữ dữ liệu sạch.
– Thêm unique constraint cho email, slug, key.
– Thêm index cho field hay filter: userId, organizationId, createdAt.
– Dùng transaction cho thao tác nhiều bảng.
– Không lưu file binary trong PostgreSQL. Lưu metadata, file thật để S3.

Prisma: type-safe data layer

Prisma giúp query dễ đọc, type tự sinh từ schema. Ví dụ lấy organization kèm quyền user:

const membership = await prisma.membership.findUnique({
  where: {
    userId_organizationId: {
      userId,
      organizationId,
    },
  },
});

Tạo file metadata sau khi upload:

await prisma.file.create({
  data: {
    key,
    bucket: process.env.S3_BUCKET!,
    filename,
    contentType,
    size,
    userId,
    organizationId,
  },
});

Khi nào không nên lạm dụng Prisma?

Prisma tốt cho 90% CRUD. Nhưng với query cực phức tạp, report nặng, analytics, recursive CTE, hoặc bulk operation lớn, dùng raw SQL hợp lý:

await prisma.$queryRaw`
  SELECT date_trunc('day', "createdAt") AS day, count(*) 
  FROM "File"
  GROUP BY day
  ORDER BY day DESC
`;

Quy tắc: Prisma cho business query thường ngày. SQL cho query tối ưu sâu.

S3: storage thay Supabase Storage

S3 lưu object theo key. Key nên có cấu trúc:

organizations/{organizationId}/users/{userId}/{fileId}-{filename}

Không để user tự quyết key hoàn toàn. Tránh ghi đè, tránh path lạ, tránh lộ cấu trúc nhạy cảm.

Upload qua presigned URL

Không nên upload file lớn qua Next.js server nếu không cần. Tạo presigned URL, client upload thẳng lên S3.

// src/lib/s3.ts
import { S3Client, PutObjectCommand } from "@aws-sdk/client-s3";
import { getSignedUrl } from "@aws-sdk/s3-request-presigner";

export const s3 = new S3Client({
  region: process.env.S3_REGION!,
  endpoint: process.env.S3_ENDPOINT || undefined,
  credentials: {
    accessKeyId: process.env.S3_ACCESS_KEY_ID!,
    secretAccessKey: process.env.S3_SECRET_ACCESS_KEY!,
  },
});

export async function createUploadUrl(params: {
  key: string;
  contentType: string;
}) {
  const command = new PutObjectCommand({
    Bucket: process.env.S3_BUCKET!,
    Key: params.key,
    ContentType: params.contentType,
  });

return getSignedUrl(s3, command, { expiresIn: 60 });
}

API route tạo URL:

export async function POST(req: Request) {
  const session = await requireSession();
  const body = await req.json();

const key = users/${session.user.id}/${crypto.randomUUID()}-${body.filename};

const url = await createUploadUrl({
    key,
    contentType: body.contentType,
  });

return Response.json({ url, key });
}

Sau khi client upload thành công, gọi API khác để lưu metadata vào PostgreSQL.

Bảo mật storage

– Presigned URL phải hết hạn ngắn, ví dụ 60 giây.
– Validate contentType, size, extension.
– Scan virus nếu file nhạy cảm.
– Bucket private mặc định.
– Download cũng nên dùng presigned URL.
– Không public toàn bộ bucket trừ khi là asset công khai.

Auth và phân quyền

Supabase Auth là phần khó thay nhất nếu tự làm. Có 3 hướng:

Auth.js

Phù hợp nếu muốn open-source, tự host, OAuth provider, session trong database. Kết hợp Prisma adapter khá ổn.

Clerk

Nhanh, UI đẹp, nhiều tính năng enterprise. Nhưng lại phụ thuộc vendor khác. Tốt nếu team muốn tiết kiệm thời gian auth.

Custom auth

Chỉ nên làm khi có yêu cầu đặc biệt. Password login cần hash chuẩn, reset token, email verification, rate limit, session rotation. Sai auth là rủi ro lớn.

Dù chọn gì, cần tách permission rõ:

export async function requireOrgRole(
  userId: string,
  organizationId: string,
  roles: Role[]
) {
  const membership = await prisma.membership.findUnique({
    where: {
      userId_organizationId: { userId, organizationId },
    },
  });

if (!membership || !roles.includes(membership.role)) {
    throw new Error("Forbidden");
  }

return membership;
}

Không tin dữ liệu từ client. Mọi API ghi dữ liệu phải kiểm tra quyền ở server.

Realtime: có cần thay ngay không?

Supabase Realtime tiện. Nhưng không phải app nào cũng cần realtime thật. Nhiều dashboard chỉ cần refresh, polling, hoặc optimistic UI.

Nếu cần realtime:

– Pusher / Ably: nhanh, ít vận hành.
– Socket.IO: tự host, linh hoạt.
– PostgreSQL LISTEN/NOTIFY: nhẹ cho event nội bộ.
– Redis Pub/Sub: tốt khi có nhiều instance.
– WebSocket server riêng: cần khi traffic lớn, logic phức tạp.

Đừng dựng realtime chỉ vì “cho giống Supabase”. Hãy bắt đầu bằng polling nếu đủ.

Deploy và vận hành

Stack này chạy tốt trên:

– Vercel cho Next.js.
– Neon / Supabase Postgres / RDS / Railway / Render cho PostgreSQL.
– AWS S3 / Cloudflare R2 / MinIO / DigitalOcean Spaces cho object storage.

Checklist production

– Bật connection pooling cho PostgreSQL.
– Dùng Prisma migration trong CI/CD.
– Backup database hằng ngày.
– Bật point-in-time recovery nếu có.
– Log lỗi với Sentry.
– Rate limit endpoint nhạy cảm.
– Tách biến môi trường dev/staging/prod.
– Theo dõi query chậm.
– Dọn file orphan: file đã upload S3 nhưng không có metadata DB.
– Lifecycle rule cho S3: xóa temp object sau vài ngày.

Vấn đề hay gặp

Serverless + Prisma + PostgreSQL có thể gây nhiều connection. Dùng pooler như PgBouncer, Neon pooling, hoặc Prisma Accelerate nếu phù hợp.

Upload thành công nhưng lưu DB lỗi tạo orphan object. Cần job cleanup theo prefix temp/.

DB có record nhưng S3 thiếu file xảy ra khi client báo sai. Có thể dùng flow: upload vào temp/, server verify bằng HeadObject, rồi chuyển trạng thái READY.

So sánh thực tế với Supabase

Stack tự dựng mạnh ở:

– Kiểm soát code và schema.
– Tích hợp business logic phức tạp.
– Dễ đổi vendor storage/database.
– Type safety tốt với Prisma.
– Phù hợp team backend mạnh.

Supabase mạnh ở:

– Launch cực nhanh.
– Dashboard quản trị tiện.
– Auth và Storage có sẵn.
– Realtime tích hợp.
– Ít code hạ tầng ban đầu.

Nói ngắn: nếu cần MVP nhanh, Supabase thắng. Nếu cần nền tảng dài hạn, quy trình kỹ thuật chặt, quyền phức tạp, hoặc chi phí riêng, stack Next.js + Prisma + PostgreSQL + S3 đáng chọn.

Kết luận thực tế

Không cần ghét Supabase để xây stack thay thế. Supabase giải bài toán tốc độ. Stack tự dựng giải bài toán kiểm soát.

Cách tốt nhất: bắt đầu nhỏ. Dựng Next.js, Prisma, PostgreSQL trước. Thêm auth ổn định. Sau đó đưa file sang S3 bằng presigned URL. Chỉ thêm realtime, queue, cache khi có nhu cầu thật.

Kiến trúc tốt không phải nhiều service. Kiến trúc tốt là ít phần, rõ trách nhiệm, dễ debug, dễ thay. Với Next.js, Prisma, PostgreSQL và S3, bạn có nền móng đủ bền để đi từ MVP đến production nghiêm túc mà không phụ thuộc quá nhiều vào một nền tảng duy nhất.