Supabase行级安全配置：允许匿名用户仅执行INSERT操作

问题原因 #

你遇到的插入失败问题，本质是默认情况下Supabase的插入操作会返回刚创建的行，而匿名用户没有SELECT权限，导致权限校验失败。以下是完整的解决方案：

配置步骤 #

1. 开启表的行级安全（RLS） #

假设你的订阅表名为subscriptions，先开启RLS：

ALTER TABLE subscriptions ENABLE ROW LEVEL SECURITY;

2. 给匿名角色授予表级INSERT权限 #

RLS是行级控制，需要先给anon角色赋予表的INSERT操作权限：

GRANT INSERT ON subscriptions TO anon;

3. 创建仅允许匿名用户插入的RLS政策 #

这条政策允许匿名用户插入数据，你也可以添加字段校验（比如邮箱格式）来增强数据合法性：

CREATE POLICY "Allow anonymous insert for subscriptions" ON subscriptions
FOR INSERT TO anon
WITH CHECK (true);

解决插入时的SELECT权限报错 #

方案一：修改客户端代码，插入不返回数据 #

这是最安全的方式，直接避免触发SELECT权限校验。以Supabase JS客户端为例：

await supabase.from('subscriptions')
  .insert({ email: 'user@example.com', name: 'Jane Doe' })
  .select(''); // 空select表示不返回任何数据

方案二：创建限制型SELECT政策（不推荐） #

如果业务必须返回插入的行，可以创建一条仅允许匿名用户读取自身插入行的政策，但注意：匿名用户没有唯一标识，无法区分行，这条政策实际上允许匿名用户读取所有行，存在数据泄露风险，仅在必要时使用：

CREATE POLICY "Allow anonymous select own subscription" ON subscriptions
FOR SELECT TO anon
USING (true);

验证安全效果 #

因为RLS开启后默认拒绝所有未授权操作，只要你不创建SELECT、UPDATE、DELETE的政策，匿名用户就无法执行这些操作，彻底防止数据被批量导出。

内容的提问来源于stack exchange，提问作者AnthoVdo