Supabase更新操作失效排查：开启RLS后无法更新用户信息

先把RLS策略的正确性拉满 #

• 别搞混字段名：很多人会把profiles表的id（资料记录ID）和user_id（关联的认证用户ID）搞混，RLS策略必须绑定到auth.uid()对应的用户ID字段。正确的策略SQL应该是：

  CREATE POLICY "用户仅能更新自己的资料" ON profiles
  FOR UPDATE TO authenticated
  USING (auth.uid() = user_id) -- 这里的user_id要和你的表字段完全匹配
  WITH CHECK (auth.uid() = user_id);
  

• 别忘了给角色开权限：必须给authenticated角色分配profiles表的UPDATE权限，否则策略再对也白搭：

  GRANT UPDATE ON profiles TO authenticated;
  

验证SvelteKit里的Supabase客户端是否带了认证信息 #

• 调用更新前先确认用户状态：

  const { data: { user } } = await supabase.auth.getUser();
  if (!user) { /* 这里要处理未认证的情况，别硬执行更新 */ }
  

• 服务器端必须用createSupabaseServerClient：在SvelteKit的hooks.server.ts里初始化带会话的客户端，页面或API路由里通过event.locals.supabase调用更新，确保认证信息跟着请求走：

  // hooks.server.ts 示例
  export const handle = async ({ event, resolve }) => {
    event.locals.supabase = createSupabaseServerClient({
      supabaseUrl: import.meta.env.VITE_SUPABASE_URL,
      supabaseKey: import.meta.env.VITE_SUPABASE_ANON_KEY,
      event
    });
    return resolve(event);
  };
  

排查更新请求的细节 #

• 检查更新语句的筛选条件：必须和RLS策略的字段对应，比如：

  const { data, error } = await supabase
    .from('profiles')
    .update({ username: '新昵称' })
    .eq('user_id', user.id) // 这里的user_id要和RLS里的字段一致
    .select();
  

• 开Supabase日志查细节：去控制台的Settings > Database > Logs开启日志，能看到更新请求的执行过程，确认RLS策略是否被触发，有没有隐性的权限问题。

常见踩坑点 #

• 把profiles表的自增id当成了关联用户的ID，导致RLS条件不匹配。
• 只加了RLS策略，没给authenticated角色分配UPDATE权限。
• 在SvelteKit服务器端操作时，用了新创建的Supabase实例而非带会话的event.locals.supabase。

内容的提问来源于stack exchange，提问作者Jaksa