Supabase插入地址触发行级安全策略违规错误排查求助

别直接禁用RLS，它是重要的安全层，先按以下方向排查：

1. 补全RLS策略的WITH CHECK子句 #

你当前的策略只有USING子句，它主要控制读取/修改/删除时的行可见性，但INSERT操作需要WITH CHECK来验证插入的行符合权限规则。修改策略为：

CREATE POLICY "Users can manage their own addresses"
  ON addresses
  FOR ALL
  USING (auth.uid() = user_id)
  WITH CHECK (auth.uid() = user_id);

如果只需要控制插入，也可以单独写INSERT策略：

CREATE POLICY "Users can insert their own addresses"
  ON addresses
  FOR INSERT
  WITH CHECK (auth.uid() = user_id);

2. 验证数据库会话的用户身份 #

auth.uid()是获取当前数据库会话的认证用户ID，如果你通过Express后端执行插入，必须确保会话已关联当前登录用户：

• 检查后端是否在执行插入前，通过SET "auth.uid" = '用户ID'（或对应方式）设置了会话的用户身份
• 若使用第三方认证框架，确认请求携带的用户身份已正确解析并传递到数据库连接

3. 检查字段数据类型一致性 #

确认addresses.user_id和auth.users.id的数据类型完全匹配（比如都是uuid），类型不匹配会导致auth.uid() = user_id的判断失效。执行以下SQL验证：

-- 检查addresses.user_id类型
SELECT data_type FROM information_schema.columns WHERE table_name='addresses' AND column_name='user_id';
-- 检查auth.users.id类型
SELECT data_type FROM information_schema.columns WHERE table_name='users' AND column_name='id';

4. 手动在数据库测试策略 #

切换到认证用户角色，手动执行插入测试，定位问题是否在策略本身：

-- 切换到你的认证用户角色（比如authenticated）
SET ROLE authenticated;
-- 设置当前会话的用户ID
SET "auth.uid" = '你的测试用户ID';
-- 执行插入
INSERT INTO addresses (user_id, ...) VALUES ('你的测试用户ID', ...);

如果手动执行也报错，说明策略逻辑有问题；如果成功，说明后端没有正确传递用户身份到数据库会话。

5. 确认auth.uid()函数的正确性 #

如果auth.uid()是自定义函数，检查它是否能正确返回当前会话的用户ID。比如常见的实现是从会话变量读取：

CREATE OR REPLACE FUNCTION auth.uid() RETURNS uuid AS $$
SELECT current_setting('auth.uid', true)::uuid;
$$ LANGUAGE sql STABLE;

确保后端在执行数据库操作前已正确设置auth.uid会话变量。

内容的提问来源于stack exchange，提问作者Maxim