Supabase Storage合规RLS策略仍触发插入违规？技术问询

核心原因：忽略了storage.buckets表的RLS策略 #

Supabase Storage处理上传请求时，会先查询storage.buckets表验证目标桶的存在及用户权限。如果仅配置storage.objects的插入策略，未对storage.buckets设置对应的访问策略，会直接触发RLS校验失败——哪怕storage.objects的策略逻辑完全正确。

分步解决步骤 #

1. 配置storage.buckets的SELECT策略 #

添加允许认证用户访问events桶的策略：

CREATE POLICY "Allow authenticated access to events bucket"
ON storage.buckets
FOR SELECT
TO authenticated
USING (name = 'events');

2. 优化storage.objects的插入策略（可选） #

原策略逻辑本身无错误，可简化写法（你已验证admin.id与auth.uid()均为UUID类型，无需额外处理类型匹配）：

CREATE POLICY "Allow admin insert to events bucket"
ON storage.objects
FOR INSERT
TO authenticated
WITH CHECK (
  bucket_id = 'events' 
  AND EXISTS (SELECT 1 FROM public.admin WHERE admin.id = auth.uid())
);

3. 验证客户端上传代码的bucket名称 #

确保客户端上传时指定的bucket名称与策略中的'events'完全一致（大小写敏感）：

// 正确示例：bucket名必须与策略中的值完全匹配
const { error } = await supabase.storage
  .from('events')
  .upload('event-docs/photo.jpg', file);

4. 确认RLS状态与策略优先级 #

• 确保storage.objects和storage.buckets都已开启RLS：

  ALTER TABLE storage.objects ENABLE ROW LEVEL SECURITY;
  ALTER TABLE storage.buckets ENABLE ROW LEVEL SECURITY;
  

• 检查是否存在冲突策略（比如全局拒绝的默认策略），如有需删除或调整优先级。

额外排查点 #

• 确认测试用户的认证状态：上传前通过supabase.auth.getUser()验证用户已登录，auth.uid()能返回有效UUID。
• 直接在Supabase SQL编辑器中测试策略逻辑：

  -- 切换到测试用户上下文
  SET ROLE authenticated;
  SET request.jwt.claims = '{"sub": "你的测试用户UUID"}';
  
  -- 模拟插入操作，验证策略是否允许
  INSERT INTO storage.objects (bucket_id, name, owner) 
  VALUES ('events', 'test.txt', auth.uid());
  

如果这条SQL执行成功，说明策略逻辑没问题，问题出在客户端请求或Storage API的权限链上。

内容的提问来源于stack exchange，提问作者Imad Selka