RLS כבוי ב-Supabase - מה זה ואיך מתקנים

Row Level Security הוא מנגנון ההרשאות של Supabase. כשהוא כבוי על טבלה, כל מי שמחזיק את המפתח הציבורי (anon) - כלומר כל מבקר באתר - יכול לקרוא אותה ישירות.

למה זה מסוכן

המפתח הציבורי מוטמע בקוד שהדפדפן מוריד. בלי RLS זה שקול למסד נתונים פתוח לאינטרנט: רשימות משתמשים, הזמנות ופרטים אישיים נקראים בשאילתה אחת.

איך מתקנים

הפעל RLS על כל טבלה: ALTER TABLE <table> ENABLE ROW LEVEL SECURITY;
הוסף policy שמגבילה קריאה לשורות של המשתמש: USING (auth.uid() = user_id)
טבלאות שאין להן סיבה להיקרא מהדפדפן - השאר בלי policy, וגש אליהן רק מצד השרת

איך מוודאים שהתיקון עבד

הרץ סריקה חוזרת - הבדיקה מנסה לקרוא את הטבלאות עם המפתח הציבורי בלבד ומדווחת מה עדיין פתוח.

מדריכים לפי הכלי שבנה את האפליקציה

בדיקה חינם

רוצה לדעת אם האפליקציה שלך חשופה? סרוק בחינם ב-30 שניות וקבל ציון אבטחה + הוראות תיקון.