Supabase限制注册至预设邮箱列表时触发500错误求助

问题核心原因 #

你当前的触发器通过返回NULL来阻止非法邮箱插入，但Supabase Auth服务无法处理这种静默取消插入的行为，直接抛出通用500错误。另外还可能存在权限漏洞：Supabase Auth使用authenticator角色操作auth.users表，该角色可能没有访问allowed_emails表的权限——即使关闭了RLS，角色本身的基础权限也需要明确配置。

修正方案 #

1. 修改触发器函数，抛出明确异常

把返回NULL改为主动抛出错误，让Auth服务返回清晰的业务错误而非通用数据库异常，同时添加SECURITY DEFINER确保函数能访问allowed_emails表：

CREATE OR REPLACE FUNCTION check_user_email()
RETURNS TRIGGER AS $$
BEGIN
  -- 检查邮箱是否在允许列表内
  IF NOT EXISTS (SELECT 1 FROM allowed_emails WHERE email = NEW.email) THEN
    RAISE EXCEPTION '该邮箱不允许注册';
  END IF;
  RETURN NEW;
END;
$$ LANGUAGE plpgsql SECURITY DEFINER;

-- 设置安全搜索路径，避免注入风险
ALTER FUNCTION check_user_email() SET search_path = public;

2. 给authenticator角色赋予allowed_emails表的查询权限

即使关闭了RLS，也要明确授权：

GRANT SELECT ON allowed_emails TO authenticator;

3. 重建触发器（先删旧的再建新的）

-- 删除原有触发器（如果存在）
DROP TRIGGER IF EXISTS check_user_email_trigger ON auth.users;

-- 创建新触发器
CREATE TRIGGER check_user_email_trigger
BEFORE INSERT ON auth.users
FOR EACH ROW
EXECUTE FUNCTION check_user_email();

验证效果 #

现在用未授权邮箱注册时，会收到明确的该邮箱不允许注册错误（状态码为400级，而非500）；授权邮箱则能正常完成注册流程。

内容的提问来源于stack exchange，提问作者Emad Naeim