如何使用Supabase服务密钥保护Next.js API调用？

嗨，我完全懂你现在的困扰——想用Supabase服务角色密钥保护Next.js API，但getUser()根本不买账，对吧？这事儿其实是个常见误区：getUser()是用来验证普通用户登录生成的JWT令牌的，而服务角色密钥是项目级别的超级密钥，它压根不是用户令牌，所以getUser()肯定识别不了。给你两种实用的解决思路，挑适合你的来用：

方法一：直接验证服务密钥（简单快速） #

这种方法最直接，既然服务密钥是你自己项目的专属密钥，那我们直接对比请求里的令牌和环境变量中存储的服务密钥是否一致就行，适合快速实现或者信任的外部服务调用场景。

const isApiRequest = request.nextUrl.pathname.startsWith("/api");
// 从环境变量取出预先配置的Supabase服务角色密钥
const SERVICE_ROLE_KEY = process.env.SUPABASE_SERVICE_ROLE_KEY;

if (isApiRequest) {
  const authHeader = request.headers.get("authorization");

  if (authHeader?.startsWith("Bearer ")) {
    const token = authHeader.replace("Bearer ", "").trim();
    
    // 直接对比令牌是否与服务角色密钥完全匹配
    if (token !== SERVICE_ROLE_KEY) {
      return new NextResponse("Unauthorized", { status: 401 });
    }
  } else {
    return new NextResponse("Unauthorized", { status: 401 });
  }
}

注意事项： #

• 一定要把服务角色密钥存在环境变量里，绝对不能硬编码到代码中，也别提交到Git这类版本控制工具里。
• 这种方法只适合你完全信任的外部服务，毕竟服务密钥拥有项目的最高权限。

方法二：验证服务角色JWT的合法性（更严谨安全） #

如果你想更严谨地验证令牌的有效性（比如确认它确实是你的Supabase项目签发的服务角色令牌），可以用JWT验证工具来校验签名、受众、发行者等信息，安全性更高。

首先需要安装jsonwebtoken库：

npm install jsonwebtoken
# 或者用yarn
yarn add jsonwebtoken

然后修改你的中间件代码：

import jwt from "jsonwebtoken";

const isApiRequest = request.nextUrl.pathname.startsWith("/api");
// 从环境变量取出Supabase项目的JWT Secret（在Supabase控制台的API设置里能找到）
const SUPABASE_JWT_SECRET = process.env.SUPABASE_JWT_SECRET;

if (isApiRequest) {
  const authHeader = request.headers.get("authorization");

  if (authHeader?.startsWith("Bearer ")) {
    const token = authHeader.replace("Bearer ", "").trim();
    
    try {
      // 验证JWT的签名、发行者、受众，同时检查是否为服务角色
      const decoded = jwt.verify(token, SUPABASE_JWT_SECRET, {
        issuer: "supabase",
        audience: "authenticated",
      });

      // 服务角色令牌的sub字段固定为"service_role"，额外校验这一点
      if (decoded.sub !== "service_role") {
        return new NextResponse("Unauthorized", { status: 401 });
      }
    } catch (error) {
      // 验证失败（签名错误、令牌过期等）直接返回401
      return new NextResponse("Unauthorized", { status: 401 });
    }
  } else {
    return new NextResponse("Unauthorized", { status: 401 });
  }
}

注意事项： #

• Supabase的JWT Secret同样要存在环境变量里，别泄露给任何人。
• 这种方法能有效防止伪造的令牌，适合对安全性要求较高的场景。

最后再提个小建议 #

不管用哪种方法，服务角色密钥都是项目的最高权限凭证，一定要妥善保管——只给完全信任的外部服务使用，定期轮换密钥（在Supabase控制台可以重新生成），降低泄露风险。

备注：内容来源于stack exchange，提问作者Jan D.M.