Supabase监听auth.users的触发器/函数导致无法创建用户问题

核心问题分析 #

1. 函数语法缺失：你给出的触发器函数缺少CREATE OR REPLACE关键字，无法正确创建或更新函数
2. 权限上下文错误：Supabase的Auth服务通过authenticator角色操作auth.users表，触发器默认继承该角色权限，而authenticator默认没有访问public schema下表的权限
3. 事务回滚连锁问题：触发器内的插入操作失败会导致整个创建用户的事务回滚，这就是JS API创建用户失败、手动插入大多失效的直接原因

修复步骤 #

1. 修正触发器函数定义（添加权限上下文控制） #

使用SECURITY DEFINER让函数以创建者（postgres角色）的权限执行，确保能访问public下的表，同时限制函数权限避免安全风险：

CREATE OR REPLACE FUNCTION on_auth_user_created()
RETURNS TRIGGER AS $$
BEGIN
    -- 插入logging表，确保字段类型与auth.users.id匹配（需为uuid类型）
    INSERT INTO public.logging (id)
    VALUES (NEW.id);

    -- 如果需要同步到public.user表，添加对应逻辑
    -- INSERT INTO public.user (id, email, created_at)
    -- VALUES (NEW.id, NEW.email, NEW.created_at);

    RETURN NEW;
END;
$$ LANGUAGE plpgsql SECURITY DEFINER;

-- 限制函数权限，仅允许authenticator执行
REVOKE ALL ON FUNCTION on_auth_user_created() FROM PUBLIC;
GRANT EXECUTE ON FUNCTION on_auth_user_created() TO authenticator;

2. 配置目标表的插入权限 #

给authenticator角色赋予public下表的插入权限：

GRANT INSERT ON public.logging TO authenticator;
-- 同步到public.user表时需执行此授权
-- GRANT INSERT ON public.user TO authenticator;

3. 重新创建触发器（清理旧触发器） #

-- 删除旧触发器（如果存在）
DROP TRIGGER IF EXISTS handle_auth_user ON auth.users;

CREATE TRIGGER handle_auth_user
AFTER INSERT ON auth.users
FOR EACH ROW
EXECUTE FUNCTION on_auth_user_created();

4. 验证字段类型匹配 #

确保public.logging.id的字段类型与auth.users.id完全一致（均为uuid），类型不匹配会直接导致插入失败并回滚事务。

验证方法 #

1. 用JS API创建用户后，检查public.logging表是否生成对应记录
2. 手动插入测试：

INSERT INTO auth.users (id, email, encrypted_password)
VALUES (gen_random_uuid(), 'test@example.com', '');

3. 查看Supabase数据库日志（Dashboard -> Database -> Logs），排查剩余错误

内容的提问来源于stack exchange，提问作者Fred Miller