Supabase中anon与public角色差异及更新权限问题排查

问题场景 #

近期使用Supabase开发服务，在本地仪表板中遇到如下情况：
为A表添加以下策略时：

• 目标：默认（未选择时对应所有public角色）
• 操作：update
• using表达式：true
• with check表达式：true
  客户端可正常更新数据行；但将策略目标设置为anon时，客户端无法更新数据行。

问题 #

1. Supabase中anon角色与public角色的区别是什么？
2. 是否存在遗漏的配置项？

环境信息 #

• 客户端：nextjs
• 认证助手：@supabase/auth-helpers-nextjs
• 配置文件：.env.local（包含NEXT_PUBLIC_SUPABASE_URL、NEXT_PUBLIC_SUPABASE_ANON_KEY）

代码示例 #

const supabase = createServerActionClient({
  cookies,
});

supabase.from('A').update({col: 'value'}).eq('col', col)

解答 #

1. anon角色与public角色的区别 #

• public角色：是Supabase数据库的默认公共角色，所有数据库用户（包括anon、authenticated、service_role等）都继承该角色的权限。所有数据库操作的执行者都会自动拥有public角色的权限。
• anon角色：专门用于未登录用户的角色，只有当用户处于未认证状态时，客户端请求才会以anon角色身份执行；已登录用户会切换为authenticated角色，不再使用anon。

2. 可能遗漏的配置项排查 #

（1）确认客户端请求的角色身份

使用createServerActionClient时，会根据cookie中的认证状态自动切换角色：

• 未登录用户：请求以anon角色执行；
• 已登录用户：请求以authenticated角色执行。
  如果测试时用户处于登录状态，此时请求用的是authenticated角色，而非anon，所以针对anon的策略不会生效。建议登出用户后再测试，或检查cookie中是否存在认证信息。

（2）检查表的基础权限

行级策略需建立在基础权限之上，需确保anon角色拥有A表的update权限。可在Supabase SQL编辑器中执行以下命令确认/授权：

GRANT UPDATE ON TABLE "A" TO anon;

若未分配该基础权限，即使行级策略允许，也无法执行更新操作。

（3）确认策略的目标角色设置

在Supabase仪表板的策略列表中，检查该update策略的目标角色是否明确为anon，避免误选或未正确设置角色范围。

内容的提问来源于stack exchange，提问作者trabite