Row Level Security Supabase: ai cầm key cũng chỉ đọc được bài

// Dựng một database giống Supabase ở mức tối thiểu, bằng PGlite (Postgres thật chạy trong Node).
// Supabase tạo sẵn hai vai anon và authenticated; ở đây mình tự tạo để thử được ngay trên máy.
import { readdirSync, readFileSync } from "node:fs";
import { PGlite } from "@electric-sql/pglite";

// soMigration: chạy bao nhiêu file migration đầu tiên (theo thứ tự tên), rồi chạy seed.sql.
export async function taoDb(soMigration) {
  const db = new PGlite();
  await db.exec("create role anon nologin; create role authenticated nologin;");
  for (const file of readdirSync("supabase/migrations").sort().slice(0, soMigration)) {
    await db.exec(readFileSync(`supabase/migrations/${file}`, "utf8"));
  }
  await db.exec(readFileSync("supabase/seed.sql", "utf8"));
  return db;
}

// Chạy một câu SQL dưới vai anon (người đọc chưa đăng nhập), rồi trả lại vai ban đầu.
// In ra số dòng trả về / bị ảnh hưởng, hoặc thông báo lỗi của Postgres.
export async function voiVaiAnon(db, moTa, sql) {
  await db.exec("set role anon");
  try {
    const kq = await db.query(sql);
    const chiTiet = kq.rows.length > 0 ? kq.rows.map((r) => Object.values(r).join(" | ")).join("; ") : `${kq.affectedRows ?? 0} dòng bị ảnh hưởng`;
    console.log(`${moTa}: ${chiTiet}`);
  } catch (error) {
    console.log(`${moTa}: LỖI ${error.message}`);
  } finally {
    await db.exec("reset role");
  }
}

export async function demBai(db) {
  const kq = await db.query("select count(*)::int as n from public.posts");
  return kq.rows[0].n;
}

04-row-level-security/
  package.json
  supabase/
    migrations/
      20261110080000_tao_bang_bai_viet.sql    bảng posts (bài trước)
      20261110090000_them_the_bai_viet.sql    cột tags (bài trước)
      20261111080000_bat_rls_bai_viet.sql     grant + RLS + policy (bài này)
    seed.sql                                  bốn bài mẫu
  scripts/
    gia-lap-supabase.mjs      tạo database và vai anon
    grant-all.mjs             cách sửa nhanh và hậu quả
    rls-chua-co-policy.mjs    bật RLS mà quên policy
    thu-rls.mjs               thử mọi thao tác sau khi làm đúng

{
  "name": "blog-mini-04-row-level-security",
  "private": true,
  "type": "module",
  "devDependencies": {
    "@electric-sql/pglite": "0.3.14"
  }
}

create table public.posts (
  id bigint generated always as identity primary key,
  slug text not null unique
    constraint posts_slug_format check (slug ~ '^[a-z0-9]+(-[a-z0-9]+)*$'),
  title text not null
    constraint posts_title_length check (char_length(title) between 1 and 200),
  description text not null default '',
  body_markdown text not null default '',
  status text not null default 'draft'
    constraint posts_status_known check (status in ('draft', 'published')),
  published_at timestamptz,
  created_at timestamptz not null default now(),
  updated_at timestamptz not null default now(),
  constraint posts_published_has_date check (status = 'draft' or published_at is not null)
);

create index posts_published_at_idx on public.posts (published_at desc) where status = 'published';

create function public.set_updated_at()
returns trigger
language plpgsql
set search_path = ''
as $$
begin
  new.updated_at := now();
  return new;
end;
$$;

create trigger posts_set_updated_at
before update on public.posts
for each row execute function public.set_updated_at();

alter table public.posts
  add column tags text[] not null default '{}'
    constraint posts_tags_limit check (cardinality(tags) <= 10);

-- Bốn bài mẫu: hai bài đã đăng, một bài nháp, một bài hẹn giờ đăng trong tương lai.
insert into public.posts (slug, title, description, body_markdown, status, published_at) values
  ('xin-chao', 'Xin chào', 'Bài đầu tiên của blog.',
   E'Đây là bài viết đầu tiên.\n\nBài viết giờ nằm trong bảng posts trên Supabase.',
   'published', '2026-11-03 08:00+07'),
  ('vi-sao-viet-blog', 'Vì sao mình viết blog', 'Ghi lại những gì học được khi đi làm.',
   E'Viết ra giúp mình hiểu kỹ hơn.\n\nVà người đi sau đỡ mất thời gian hơn.',
   'published', '2026-11-04 08:00+07'),
  ('bai-dang-viet-do', 'Bài đang viết dở', 'Chưa xong, chưa muốn ai đọc.',
   'Mới có dàn ý.', 'draft', null),
  ('bai-hen-gio', 'Bài hẹn giờ', 'Đã viết xong, hẹn đăng đầu năm 2030.',
   'Nội dung sẽ lên lúc 8:00 ngày 1/1/2030.', 'published', '2030-01-01 08:00+07');

// Cách sửa nhanh (không nên): trang báo "permission denied" thì cấp hết quyền cho anon.
import { demBai, taoDb, voiVaiAnon } from "./gia-lap-supabase.mjs";

const db = await taoDb(2); // hai migration của bài trước: bảng posts và cột tags, chưa có RLS

await voiVaiAnon(db, "Trước khi grant, anon đọc bài", "select slug from public.posts");

await db.exec("grant all on public.posts to anon;");
console.log("\n-- đã chạy: grant all on public.posts to anon --\n");

await voiVaiAnon(db, "anon đọc bài", "select slug, status from public.posts order by id");
await voiVaiAnon(db, "anon sửa tiêu đề", "update public.posts set title = 'Blog này đã bị sửa' where slug = 'xin-chao' returning slug, title");
await voiVaiAnon(db, "anon xóa bài", "delete from public.posts where slug = 'vi-sao-viet-blog'");
console.log(`\nSố bài còn lại trong bảng: ${await demBai(db)}`);

Trước khi grant, anon đọc bài: LỖI permission denied for table posts

-- đã chạy: grant all on public.posts to anon --

anon đọc bài: xin-chao | published; vi-sao-viet-blog | published; bai-dang-viet-do | draft; bai-hen-gio | published
anon sửa tiêu đề: xin-chao | Blog này đã bị sửa
anon xóa bài: 1 dòng bị ảnh hưởng

Số bài còn lại trong bảng: 3

// Bật RLS nhưng chưa viết policy nào: anon được phép select, nhưng không thấy dòng nào.
import { demBai, taoDb, voiVaiAnon } from "./gia-lap-supabase.mjs";

const db = await taoDb(2);
await db.exec(`
  grant select on public.posts to anon;
  alter table public.posts enable row level security;
`);

await voiVaiAnon(db, "anon đếm số bài", "select count(*)::int as so_bai from public.posts");
console.log(`Số bài thật sự có trong bảng: ${await demBai(db)}`);

anon đếm số bài: 0
Số bài thật sự có trong bảng: 4

-- Người đọc (vai anon) chỉ được ĐỌC các bài đã đăng và đã tới giờ đăng.
-- Lớp 1: grant quyết định vai nào được làm thao tác gì trên bảng.
revoke all on public.posts from anon, authenticated;
grant select on public.posts to anon, authenticated;

-- Lớp 2: Row Level Security quyết định vai đó thấy những DÒNG nào.
alter table public.posts enable row level security;

create policy "Ai cũng đọc được bài đã đăng"
on public.posts for select
to anon, authenticated
using (status = 'published' and published_at <= now());

alter table public.posts enable row level security;

create policy "Anyone can read published posts"
on public.posts for select
to anon, authenticated
using (status = 'published' and published_at <= now());

-- New tables are not exposed to the Data API automatically (Supabase change, enforced 2026-10-30),
-- so grant exactly what each role needs. RLS above still decides which rows they see.
revoke all on public.posts from anon, authenticated;
grant select on public.posts to anon;

// Chạy cả ba migration (có RLS và policy), rồi thử mọi thao tác dưới vai anon.
import { demBai, taoDb, voiVaiAnon } from "./gia-lap-supabase.mjs";

const db = await taoDb(3);
console.log(`Bảng posts có ${await demBai(db)} bài: 2 đã đăng, 1 nháp, 1 hẹn giờ năm 2030.\n`);

await voiVaiAnon(db, "anon đọc bài", "select slug from public.posts order by published_at desc");
await voiVaiAnon(db, "anon hỏi thẳng bài nháp", "select count(*)::int as so_dong from public.posts where slug = 'bai-dang-viet-do'");
await voiVaiAnon(db, "anon sửa tiêu đề", "update public.posts set title = 'Blog này đã bị sửa' where slug = 'xin-chao'");
await voiVaiAnon(db, "anon xóa bài", "delete from public.posts where slug = 'vi-sao-viet-blog'");
await voiVaiAnon(db, "anon thêm bài", "insert into public.posts (slug, title) values ('bai-la', 'Bài lạ')");

// Giả sử một ngày có người lỡ tay cấp lại hết quyền cho anon. RLS vẫn còn đó.
await db.exec("grant all on public.posts to anon;");
console.log("\n-- lỡ tay chạy: grant all on public.posts to anon --\n");

await voiVaiAnon(db, "anon đọc bài", "select slug from public.posts order by published_at desc");
await voiVaiAnon(db, "anon sửa tiêu đề", "update public.posts set title = 'Blog này đã bị sửa' where slug = 'xin-chao'");
await voiVaiAnon(db, "anon xóa bài", "delete from public.posts where slug = 'vi-sao-viet-blog'");
await voiVaiAnon(db, "anon thêm bài", "insert into public.posts (slug, title) values ('bai-la', 'Bài lạ')");

const tieuDe = await db.query("select title from public.posts where slug = 'xin-chao'");
console.log(`\nSố bài còn lại: ${await demBai(db)}. Tiêu đề bài xin-chao: ${tieuDe.rows[0].title}`);

Bảng posts có 4 bài: 2 đã đăng, 1 nháp, 1 hẹn giờ năm 2030.

anon đọc bài: vi-sao-viet-blog; xin-chao
anon hỏi thẳng bài nháp: 0
anon sửa tiêu đề: LỖI permission denied for table posts
anon xóa bài: LỖI permission denied for table posts
anon thêm bài: LỖI permission denied for table posts

-- lỡ tay chạy: grant all on public.posts to anon --

anon đọc bài: vi-sao-viet-blog; xin-chao
anon sửa tiêu đề: 0 dòng bị ảnh hưởng
anon xóa bài: 0 dòng bị ảnh hưởng
anon thêm bài: LỖI new row violates row-level security policy for table "posts"

Số bài còn lại: 4. Tiêu đề bài xin-chao: Xin chào

const { data, error } = await createPublicClient(env)
  .from("posts")
  .select(POST_COLUMNS)
  .eq("status", "published")
  .lte("published_at", new Date().toISOString())
  .order("published_at", { ascending: false });

if (error) throw new Error(`Could not load posts from Supabase: ${error.message}`);