Supabase RLS匿名用户插入reviews表返回401，但认证用户可正常插入的问题求助
2026-4-1
Supabase RLS匿名用户插入reviews表返回401，但认证用户可正常插入的问题求助
我现在遇到一个非常棘手的Supabase RLS问题，已经调试好几天了还是没解决。场景是做一个公开评论流：用户可以匿名提交评论，也可以登录后提交，但现在行为完全不一致，陷入了死胡同。
核心问题现象
- 登录状态（authenticated角色）：插入评论到
reviews表完全成功 - 未登录状态（anon角色）：每次插入都返回
401 Unauthorized，错误信息为：new row violates row-level security policy for table "reviews" code: 42501
更奇怪的是：哪怕我在策略里明确给anon和authenticated角色同时开了INSERT权限，匿名用户还是100%失败，认证用户却一直成功。
我的RLS策略配置
1. public.reviews表策略
所有策略都是PERMISSIVE，没有RESTRICTIVE策略冲突，且该表已开启RLS：
| 策略名称 | 权限类型 | 关联角色 | 操作 | QUAL条件 | WITH CHECK条件 |
|---|---|---|---|---|---|
| campaign_owner_select_reviews | PERMISSIVE | {authenticated} | SELECT | EXISTS(...) | null（针对campaign所有者的查询权限，与当前问题无关） |
| campaign_owner_update_reviews | PERMISSIVE | {authenticated} | UPDATE | EXISTS(...) | null（针对campaign所有者的更新权限，与当前问题无关） |
| anonymous_reviews | PERMISSIVE | {anon, authenticated} | INSERT | null | EXISTS(SELECT 1 FROM campaigns c WHERE c.id = reviews.campaign_id AND c.active = true) |
⚠️ 确认：目标campaign_id对应的记录确实存在且active = true，表中没有任何触发器。
2. public.campaigns表策略
该表同样已开启RLS，策略如下：
| 策略名称 | 关联角色 | 操作 | QUAL条件 |
|---|---|---|---|
| anon_select_active_campaigns | {anon} | SELECT | (active = true) |
| select_campaigns_policy | {authenticated} | SELECT | (auth.uid() = user_id) |
| update_campaigns_policy | {authenticated} | UPDATE | (auth.uid() = user_id) |
| insert_campaigns_policy | {authenticated} | INSERT | null |
| delete_campaigns_policy | {authenticated} | DELETE | (auth.uid() = user_id) |
这里的逻辑是：匿名用户只能读取active = true的活动campaign，这应该能让anonymous_reviews策略里的WITH CHECK条件成立才对。
匿名插入失败时的请求细节
请求头确认用的是正确的匿名密钥，没有携带用户会话：
apikey: <我的Anon Key> authorization: Bearer <和上面相同的Anon Key>
客户端代码也确保了不会自动带会话：
export const supabaseReview = createClient( SUPABASE_URL, SUPABASE_ANON_KEY, { auth: { persistSession: false, autoRefreshToken: false, detectSessionInUrl: false, storageKey: "supabase-review-anon", }, global: { headers: { apikey: SUPABASE_ANON_KEY, "X-Client-Info": "supabase-review-anon", } } } );
插入代码很简单，哪怕去掉后续的.select("id").single()调用，依然返回401：
supabase.from("reviews") .insert(reviewData) .select("id") .single();
已尝试的所有排查步骤
我几乎把能想到的方法都试了一遍，但问题依然存在：
- ✅ 删除并重新创建
reviews表的所有INSERT策略 - ✅ 删除并重新创建
campaigns表的所有SELECT策略 - ✅ 给
anonymous_reviews策略显式添加USING (true)条件 - ✅ 单独给
anon角色创建一个全宽松的INSERT策略（TO anon INSERT USING true WITH CHECK true） - ✅ 移除插入请求后的
.select()链式调用 - ✅ 开启PostgREST debug模式，确认请求确实是以anon角色发送的
- ✅ 直接在pgAdmin里查询，确认目标campaign存在且active
- ✅ 确认没有任何RESTRICTIVE类型的RLS策略（所有策略都是PERMISSIVE）
- ✅ 解码anon JWT，确认
role字段是anon，权限正常 - ✅ 用无痕模式测试，确保客户端没有残留的认证会话
- ✅ 检查所有迁移脚本，没有修改RLS的异常逻辑
我的疑问
明明所有条件都满足，但匿名用户插入还是失败，有没有我漏掉的隐性规则或者其他可能的原因？比如：
- PostgREST处理anon角色的INSERT请求时有什么特殊逻辑？
- WITH CHECK条件里的子查询，对于anon角色会不会有RLS的上下文问题？
- JWT的权限声明有没有遗漏？
- 策略的执行顺序会不会影响结果？
任何思路或建议都万分感谢！
