如何在Supabase的成员RLS策略中实现仅查看同组织成员

数据库架构检查 #

你的members表设计是标准的用户-组织多对多关联表，完全没问题：

• 用members.organisation关联组织表，members.user关联用户表，准确记录用户的组织成员身份
• 支持一个用户加入多个组织的场景，完全匹配业务需求

递归问题的根源 #

你遇到的递归问题，通常是因为RLS策略中引用members表本身时，默认会触发同一张表的RLS检查，导致循环调用策略。解决核心是确保子查询能安全获取当前用户的组织列表，而不触发递归检查。

正确的RLS策略实现 #

可以通过合并两个逻辑（允许查看自己的成员记录 + 允许查看同组织成员）来避免递归，直接创建以下策略：

CREATE POLICY "Allow viewing own memberships and same-org members"
ON members
FOR SELECT
USING (
  -- 允许查看自己的成员记录
  "user" = auth.uid()
  -- 允许查看与自己同属一个组织的成员
  OR EXISTS (
    SELECT 1
    FROM members m
    WHERE m."user" = auth.uid()
      AND m.organisation = members.organisation
  )
);

为什么这个策略不会递归？ #

当子查询执行时，m."user" = auth.uid()会匹配当前用户的成员记录，而策略的第一个条件已经允许访问这些记录，因此子查询能正常返回当前用户所属的所有组织，主查询再基于这些组织筛选出符合条件的成员，不会触发循环。

额外注意事项 #

1. 确保members."user"字段是UUID类型，与auth.uid()的返回类型一致（如果类型不匹配，需要用::uuid做类型转换）
2. 记得开启members表的RLS：ALTER TABLE members ENABLE ROW LEVEL SECURITY;
3. 测试时用不同用户登录Supabase，验证是否只能看到自己所在组织的成员

内容的提问来源于stack exchange，提问作者Alexander Hunter