如何用SQL为Supabase边缘函数创建Webhook及权限配置问题

原示例针对自定义HTTP端点，要触发Supabase边缘函数，需替换为边缘函数的实际URL，并添加必要的认证头（边缘函数默认要求身份验证）。

改写后的SQL触发器代码如下：

create trigger "trigger_hello_world" after insert
on "public"."my_table" for each row
execute function "supabase_functions"."http_request"(
  -- 替换为你的Supabase项目边缘函数URL，格式：https://<项目ID>.functions.supabase.co/hello-world
  'https://abc123.supabase.co/functions/v1/hello-world',
  'POST',
  -- 包含认证头（使用你的Service Role Key）和内容类型
  '{"Content-Type":"application/json", "Authorization":"Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..."}',
  -- 传递插入行的JSON数据，可根据需求调整
  json_build_object('new_row', NEW)::text,
  '1000' -- 超时时间（毫秒）
);

注意事项：

• 替换URL中的<项目ID>为你的Supabase项目实际ID，边缘函数路径固定为/functions/v1/hello-world
• Authorization头的值是你的Service Role Key（从Supabase控制台API设置中获取），必须以Bearer 开头
• body部分用json_build_object把插入的新行数据传给边缘函数，可根据业务需求自定义内容

是否必须以Postgres角色调用？ #

不是必须，但需使用拥有对应权限的身份访问：

• 若要绕过RLS直接访问表，可使用Service Role身份（拥有超级权限，不受RLS限制）
• 若要遵守RLS规则，需以符合权限的Postgres角色（比如authenticated、anon或自定义角色）调用，此时需在边缘函数中传递对应角色的JWT或手动切换角色

通过SQL Webhook实现配置的方法 #

通过SQL触发器（Webhook）触发边缘函数时，需在http_request的请求头中传递身份凭证，让边缘函数能以正确身份访问数据库：

1. 用Service Role身份（绕过RLS）
   在触发器的请求头中带上Service Role Key，边缘函数初始化Supabase客户端时使用该Key即可：

   create trigger "trigger_hello_world_rls" after insert
   on "public"."my_table" for each row
   execute function "supabase_functions"."http_request"(
     'https://abc123.supabase.co/functions/v1/hello-world',
     'POST',
     '{"Content-Type":"application/json", "Authorization":"Bearer <你的Service Role Key>"}',
     json_build_object('new_row', NEW)::text,
     '1000'
   );
   

   边缘函数中（以TypeScript为例）初始化客户端：

   import { createClient } from '@supabase/supabase-js'
   
   export default async function handler(req: Request) {
     const supabase = createClient(
       Deno.env.get('SUPABASE_URL')!,
       Deno.env.get('SUPABASE_SERVICE_ROLE_KEY')!
     )
     // 此时访问受RLS保护的表会绕过RLS
     const { data } = await supabase.from('protected_table').select('*')
     return new Response(JSON.stringify(data), { status: 200 })
   }
   

2. 以特定Postgres角色（遵守RLS）
   若要让边缘函数以某个角色（比如authenticated）访问，需在请求头中传递该角色的JWT，或在边缘函数中手动切换角色：

   • 触发器中传递用户JWT（若触发器关联用户操作，可从NEW中获取用户ID生成对应JWT，或直接传递当前会话的JWT）
   • 边缘函数中初始化客户端时使用该JWT，或执行SET ROLE语句切换角色：

     import { createClient } from '@supabase/supabase-js'
     
     export default async function handler(req: Request) {
       const authHeader = req.headers.get('Authorization')
       const supabase = createClient(
         Deno.env.get('SUPABASE_URL')!,
         Deno.env.get('SUPABASE_ANON_KEY')!,
         { global: { headers: { Authorization: authHeader! } } }
       )
       // 或者手动切换角色
       await supabase.rpc('set_role', { role_name: 'authenticated' })
       // 此时访问受RLS保护的表会遵守该角色的权限规则
       const { data } = await supabase.from('protected_table').select('*')
       return new Response(JSON.stringify(data), { status: 200 })
     }
     

内容的提问来源于stack exchange，提问作者tobias hassebrock