Supabase实时订阅在自定义JWT+RLS的Next.js+NextAuth环境下失效

1. 为JWT添加iss声明（关键修复） #

Supabase Realtime服务对JWT的校验比普通PostgreSQL查询更严格，必须包含iss（发行人）声明，值为你的Supabase项目URL（格式：https://<你的项目ID>.supabase.co）。

修改后的JWT负载示例：

{
  "sub": "<user-uuid>",
  "aud": "authenticated",
  "role": "authenticated",
  "email": "<user-email>",
  "exp": <timestamp>,
  "iss": "https://<your-project-id>.supabase.co"
}

2. 完善RLS策略的操作覆盖 #

现有策略仅针对SELECT操作，Realtime订阅插入事件时，需确保策略覆盖对应的权限校验，可补充WITH CHECK规则（用于写入操作的权限验证）：

CREATE POLICY "Allow user access to their messages for realtime"
ON messages
FOR ALL
USING (auth.uid()::text = user_id::text)
WITH CHECK (auth.uid()::text = user_id::text);

3. 优化Realtime频道订阅配置 #

创建频道时，显式指定过滤规则，同时确保JWT正确传递：

const userUuid = '<当前用户UUID>';
const channel = supabase.channel('user-messages-channel')
  .on('postgres_changes', {
    event: 'INSERT',
    schema: 'public',
    table: 'messages',
    filter: `user_id=eq.${userUuid}`
  }, (payload) => {
    // 处理新消息
    console.log('Received new message:', payload);
  })
  .subscribe();

显式过滤可减少无效流量，同时辅助Realtime服务正确识别用户权限范围。

4. 校验JWT的签名算法与有效期 #

确保JWT使用HS256算法签名（Supabase默认算法），且exp时间戳为有效未来时间，避免因JWT过期或签名不匹配导致Realtime服务拒绝认证。

5. 确认Realtime角色权限配置 #

在Supabase控制台的Realtime页面，确认messages表的Realtime功能对authenticated角色开放，而非仅针对Supabase Auth原生用户。

内容的提问来源于stack exchange，提问作者ergs0204