基于Supabase登录的客户端向Web服务器发起认证请求的相关问题

问题一：服务器向Supabase Postgres存储数据的方案 #

• 完全可以使用任意兼容PostgreSQL的SQL连接库访问Supabase Postgres数据库，因为Supabase底层就是标准的Postgres实例，遵循常规Postgres连接规范。
• 你可以直接通过数据库连接参数（主机地址、端口、用户名、密码、数据库名称）建立连接，执行INSERT/UPDATE等SQL语句存储access_token和refresh_token这类数据。
• 更推荐使用Supabase官方提供的服务端SDK，它已经封装了鉴权、连接池等功能，能简化开发流程，同时确保和Supabase生态的兼容性。
• 注意：存储第三方服务的令牌属于敏感数据，建议使用Supabase的pgcrypto扩展对令牌字段进行加密存储，避免明文泄露风险。

问题二：桌面应用向Web服务器证明身份的方案 #

• 桌面应用通过Supabase完成账号密码登录后，会获取到Supabase签发的JWT令牌。
• 在向Web服务器请求资源时，将该JWT放在HTTP请求的Authorization请求头中，格式为：Bearer <你的JWT令牌>。
• Web服务器端处理逻辑：
  • 从请求头中提取JWT令牌
  • 使用Supabase服务端SDK（或直接用JWT验证库，结合Supabase项目的JWT密钥）验证令牌的签名有效性、过期时间等字段
  • 验证通过后，从JWT的payload中提取sub字段（即Supabase用户ID），以此确认当前请求的发起者为用户X
• 这种方式能确保身份验证的安全性，因为JWT由Supabase签发，服务器通过密钥验证后可信任令牌中的用户信息。

内容的提问来源于stack exchange，提问作者gallivantingitalian