如何在NodeJS中注入Supabase认证凭证，解决授权数据库请求失败问题

问题核心 #

你已经在Flutter客户端传递了用户的accessToken到NodeJS API，并且验证了JWT的有效性，但没有将凭证注入Supabase客户端，导致数据库请求触发invalid claim: missing sub claim错误——本质是Supabase客户端未携带用户身份，行级安全策略无法识别用户。

修复步骤 #

1. 修改认证中间件，注入带凭证的Supabase实例 #

不要使用全局Supabase实例（避免并发冲突），而是为每个请求创建携带用户accessToken的独立实例，并挂载到请求对象上：

const { createClient } = require('@supabase/supabase-js');

function authenticateToken(req, res, next) {
  const authHeader = req.headers["authorization"];
  const token = authHeader && authHeader.split(" ")[1];

  if (token == null) return res.sendStatus(401);

  // 注意：验证Supabase JWT必须用控制台提供的公钥，而非自定义密钥
  jwt.verify(
    token,
    process.env.SUPABASE_JWT_PUBLIC_KEY,
    (err, decodedToken) => {
      if (err) return res.sendStatus(403);
      
      // 为当前请求创建带用户凭证的Supabase客户端
      req.supabase = createClient(
        process.env.SUPABASE_URL,
        process.env.SUPABASE_ANON_KEY,
        {
          global: {
            headers: { Authorization: `Bearer ${token}` }
          }
        }
      );

      req.user = decodedToken;
      next();
    }
  );
}

2. 在数据库调用中使用请求内的Supabase实例 #

替换全局Supabase客户端，改用中间件注入到req对象里的带凭证实例：

async getRegionDetails(req, regionId) {
  const { data, error } = await req.supabase.from("regions").select();

  if (error) {
    throw error;
  }
  return data;
}

关键注意事项 #

• 禁止用全局Supabase实例共享凭证：多个请求同时修改全局客户端的认证信息会导致用户身份混乱，必须每个请求独立创建实例。
• 正确验证Supabase JWT：不要用自定义密钥验证，去Supabase控制台「Settings > API」获取JWT公钥，确保验证逻辑正确。
• 行级安全策略依赖sub声明：注入凭证后，Supabase会自动解析JWT中的sub（用户ID），RLS策略才能正常生效。

内容的提问来源于stack exchange，提问作者kevin