两张简单表的INSERT RLS策略无法正常工作问题排查

问题背景 #

• 为tags表创建的INSERT RLS策略：

  (picture_id IN ( SELECT pictures.id FROM pictures WHERE (pictures.owner = auth.uid())));
  

• 表结构：
  • pictures表：id(uuid)、created_at(timestamptz)、owner(uuid，关联auth.users.id)、url(text)
  • tags表：id(uuid)、created_at(timestamptz)、picture_id(uuid，关联pictures.id)、tag(uuid，关联auth.users.id)
• 客户端插入代码（静默失败，无报错）：

  const data = await supabase.from("tags").insert({ picture_id: uuid, tag: session?.user.id });
  

• 策略改为true后插入正常，排除API/客户端层面问题。

排查与解决办法 #

1. 确认pictures表的RLS权限

你的INSERT策略依赖于查询pictures表的数据，如果pictures表开启了RLS但未配置允许当前用户读取目标图片的策略，子查询会返回空结果，导致picture_id IN ()不成立，策略校验失败。

解决：给pictures表添加SELECT权限策略：

CREATE POLICY "用户可查看自己的图片" ON pictures
FOR SELECT USING (owner = auth.uid());

2. 验证目标picture_id的归属

检查插入时传入的picture_id对应的pictures记录，其owner字段是否等于当前登录用户的auth.uid()。如果该图片不属于当前用户，子查询无法匹配，策略不通过。

可在Supabase SQL编辑器中执行验证：

-- 替换为实际的picture_id值
SELECT id FROM pictures WHERE id = '你的picture_id' AND owner = auth.uid();

若返回空，说明图片归属不符，需确认图片所有权或调整策略（如需允许给他人图片加标签）。

3. 优化策略写法（避免子查询隐式问题）

原策略的子查询写法可替换为更直观的关联查询形式，逻辑一致但能减少边界问题：

EXISTS (
  SELECT 1 FROM pictures 
  WHERE pictures.id = tags.picture_id 
  AND pictures.owner = auth.uid()
)

4. 检查用户会话有效性

确认客户端执行插入时，session?.user.id有效，且服务端auth.uid()能正确获取当前用户ID。可在客户端打印session确认用户已登录，或查看Supabase认证日志验证会话状态。

内容的提问来源于stack exchange，提问作者reix