Supabase Auth Next.js: đăng nhập tác giả và phân quyền cho blog

05-dang-nhap-tac-gia/
├── package.json                  # chỉ có @electric-sql/pglite 0.3.14
├── supabase/
│   ├── seed.sql                  # giữ nguyên
│   └── migrations/
│       ├── 20261110080000_tao_bang_bai_viet.sql   # giữ nguyên
│       ├── 20261110090000_them_the_bai_viet.sql   # giữ nguyên
│       ├── 20261111080000_bat_rls_bai_viet.sql    # giữ nguyên
│       └── 20261112080000_quyen_tac_gia.sql       # MỚI
├── policy-thu/
│   ├── a-ai-dang-nhap-cung-ghi.sql                # MỚI, cách sai thứ nhất
│   └── b-user-metadata.sql                        # MỚI, cách sai thứ hai
└── scripts/
    ├── gia-lap-supabase.mjs                       # viết lại
    └── thu-quyen.mjs                              # MỚI

// Dựng một database giống Supabase ở mức tối thiểu, bằng PGlite (Postgres thật chạy trong Node).
// Supabase có sẵn hai vai anon, authenticated và hai hàm auth.jwt(), auth.uid(); ở đây mình tự tạo.
import { readdirSync, readFileSync } from "node:fs";
import { PGlite } from "@electric-sql/pglite";

// Trên Supabase, mỗi request mang một JWT. Lớp API giải mã nó, đặt nội dung (claims) vào thiết lập
// request.jwt.claims của phiên, rồi mới chạy câu SQL. auth.jwt() chỉ đọc lại thiết lập đó.
const GIA_LAP_AUTH = `
  create role anon nologin;
  create role authenticated nologin;
  create schema auth;
  grant usage on schema auth to anon, authenticated;
  create function auth.jwt() returns jsonb language sql stable as $$
    select coalesce(nullif(current_setting('request.jwt.claims', true), ''), '{}')::jsonb $$;
  create function auth.uid() returns uuid language sql stable as $$
    select nullif(auth.jwt() ->> 'sub', '')::uuid $$;
`;

// soMigration: chạy bao nhiêu file migration đầu tiên (theo thứ tự tên), rồi chạy seed.sql.
// sqlThem: một file SQL chạy thêm sau cùng, dùng để thử một bộ policy chưa đưa vào migration.
export async function taoDb(soMigration, sqlThem) {
  const db = new PGlite();
  await db.exec(GIA_LAP_AUTH);
  for (const file of readdirSync("supabase/migrations").sort().slice(0, soMigration)) {
    await db.exec(readFileSync(`supabase/migrations/${file}`, "utf8"));
  }
  await db.exec(readFileSync("supabase/seed.sql", "utf8"));
  if (sqlThem) await db.exec(readFileSync(sqlThem, "utf8"));
  return db;
}

// Chạy một câu SQL như thể nó đến từ một người cụ thể. claims = null là người chưa đăng nhập (vai anon);
// có claims là người đã đăng nhập (vai authenticated) với đúng nội dung JWT đó.
// Trả về một chuỗi ngắn: kết quả, số dòng bị ảnh hưởng, hoặc lỗi của Postgres.
export async function chayVoi(db, claims, sql) {
  await db.query("select set_config('request.jwt.claims', $1, false)", [claims ? JSON.stringify(claims) : ""]);
  await db.exec(`set role ${claims ? "authenticated" : "anon"}`);
  try {
    const kq = await db.query(sql);
    if (kq.rows.length > 0) return kq.rows.map((r) => Object.values(r).join(" | ")).join("; ");
    return `${kq.affectedRows ?? 0} dòng`;
  } catch (error) {
    return `LỖI ${error.message}`;
  } finally {
    await db.exec("reset role");
  }
}

// Thử ba bộ policy với bốn người, mỗi người làm ba việc: đếm bài nhìn thấy, sửa một tiêu đề, thêm một bài.
import { chayVoi, taoDb } from "./gia-lap-supabase.mjs";

// Nội dung JWT (claims) của từng người. Supabase tự tạo phần này khi người dùng đăng nhập.
const NGUOI = [
  ["người lạ, chưa đăng nhập", null],
  ["khách vừa tự đăng ký", { sub: "00000000-0000-0000-0000-000000000002", role: "authenticated", app_metadata: {}, user_metadata: {} }],
  ["khách tự ghi role=author vào user_metadata", { sub: "00000000-0000-0000-0000-000000000003", role: "authenticated", app_metadata: {}, user_metadata: { role: "author" } }],
  ["tác giả (app_metadata.role=author)", { sub: "00000000-0000-0000-0000-000000000001", role: "authenticated", app_metadata: { role: "author" }, user_metadata: {} }],
];

const BO_POLICY = [
  ["A. Cứ đăng nhập là được ghi", 3, "policy-thu/a-ai-dang-nhap-cung-ghi.sql"],
  ["B. Kiểm tra user_metadata", 3, "policy-thu/b-user-metadata.sql"],
  ["C. Kiểm tra app_metadata (migration thứ tư)", 4, undefined],
];

for (const [ten, soMigration, sqlThem] of BO_POLICY) {
  console.log(`=== ${ten} ===`);
  for (const [nguoi, claims] of NGUOI) {
    const db = await taoDb(soMigration, sqlThem); // mỗi người một database mới, để không ai thấy thay đổi của ai
    const thay = await chayVoi(db, claims, "select count(*)::int from public.posts");
    const sua = await chayVoi(db, claims, "update public.posts set title = 'Đã bị sửa' where slug = 'xin-chao'");
    const them = await chayVoi(db, claims, "insert into public.posts (slug, title) values ('bai-moi', 'Bài mới')");
    console.log(`${nguoi}\n    thấy ${thay} bài | sửa: ${sua} | thêm: ${them}`);
  }
  console.log();
}

-- Cách A (SAI): cứ đăng nhập là được ghi.
grant insert, update, delete on public.posts to authenticated;

create policy "Người đăng nhập đọc được mọi bài"
on public.posts for select
to authenticated
using (true);

create policy "Người đăng nhập thêm được bài"
on public.posts for insert
to authenticated
with check (true);

create policy "Người đăng nhập sửa được bài"
on public.posts for update
to authenticated
using (true)
with check (true);

=== A. Cứ đăng nhập là được ghi ===
người lạ, chưa đăng nhập
    thấy 2 bài | sửa: LỖI permission denied for table posts | thêm: LỖI permission denied for table posts
khách vừa tự đăng ký
    thấy 4 bài | sửa: 1 dòng | thêm: 1 dòng
khách tự ghi role=author vào user_metadata
    thấy 4 bài | sửa: 1 dòng | thêm: 1 dòng
tác giả (app_metadata.role=author)
    thấy 4 bài | sửa: 1 dòng | thêm: 1 dòng

-- Cách B (SAI): kiểm tra vai trò trong user_metadata, phần mà người dùng tự sửa được.
grant insert, update, delete on public.posts to authenticated;

create policy "Tác giả đọc được mọi bài"
on public.posts for select
to authenticated
using ((select auth.jwt() -> 'user_metadata' ->> 'role') = 'author');

create policy "Tác giả thêm được bài"
on public.posts for insert
to authenticated
with check ((select auth.jwt() -> 'user_metadata' ->> 'role') = 'author');

create policy "Tác giả sửa được bài"
on public.posts for update
to authenticated
using ((select auth.jwt() -> 'user_metadata' ->> 'role') = 'author')
with check ((select auth.jwt() -> 'user_metadata' ->> 'role') = 'author');

=== B. Kiểm tra user_metadata ===
người lạ, chưa đăng nhập
    thấy 2 bài | sửa: LỖI permission denied for table posts | thêm: LỖI permission denied for table posts
khách vừa tự đăng ký
    thấy 2 bài | sửa: 0 dòng | thêm: LỖI new row violates row-level security policy for table "posts"
khách tự ghi role=author vào user_metadata
    thấy 4 bài | sửa: 1 dòng | thêm: 1 dòng
tác giả (app_metadata.role=author)
    thấy 2 bài | sửa: 0 dòng | thêm: LỖI new row violates row-level security policy for table "posts"

-- Tác giả (người đăng nhập có app_metadata.role = 'author') được đọc mọi bài, thêm, sửa và xóa bài.
-- app_metadata chỉ sửa được từ phía quản trị (SQL, Dashboard), người dùng không tự sửa được.

-- Lớp 1: vai authenticated được phép ghi vào bảng.
grant insert, update, delete on public.posts to authenticated;

-- Lớp 2: nhưng chỉ những dòng mà policy cho phép, và policy chỉ nhận tác giả.
create policy "Tác giả đọc được mọi bài"
on public.posts for select
to authenticated
using ((select auth.jwt() -> 'app_metadata' ->> 'role') = 'author');

create policy "Tác giả thêm được bài"
on public.posts for insert
to authenticated
with check ((select auth.jwt() -> 'app_metadata' ->> 'role') = 'author');

create policy "Tác giả sửa được bài"
on public.posts for update
to authenticated
using ((select auth.jwt() -> 'app_metadata' ->> 'role') = 'author')
with check ((select auth.jwt() -> 'app_metadata' ->> 'role') = 'author');

create policy "Tác giả xóa được bài"
on public.posts for delete
to authenticated
using ((select auth.jwt() -> 'app_metadata' ->> 'role') = 'author');

=== C. Kiểm tra app_metadata (migration thứ tư) ===
người lạ, chưa đăng nhập
    thấy 2 bài | sửa: LỖI permission denied for table posts | thêm: LỖI permission denied for table posts
khách vừa tự đăng ký
    thấy 2 bài | sửa: 0 dòng | thêm: LỖI new row violates row-level security policy for table "posts"
khách tự ghi role=author vào user_metadata
    thấy 2 bài | sửa: 0 dòng | thêm: LỖI new row violates row-level security policy for table "posts"
tác giả (app_metadata.role=author)
    thấy 4 bài | sửa: 1 dòng | thêm: 1 dòng

update auth.users
set raw_app_meta_data = raw_app_meta_data || '{"role":"author"}'
where email = 'email-cua-tac-gia@example.com';

type Claims = { sub?: string; email?: string; app_metadata?: { [key: string]: unknown } | null } | null | undefined;

/**
 * Authorship comes only from app_metadata, which users cannot edit. user_metadata is ignored on
 * purpose: it is writable by the user and would let anyone promote themselves.
 */
export function isAuthorClaims(claims: Claims): claims is { sub: string; email?: string; app_metadata: { role: "author" } } {
  return typeof claims?.sub === "string" && claims.app_metadata?.role === "author";
}

/** Verifies the session JWT (getClaims) and returns the author, or null for anyone else. */
export async function getAuthor() {
  if (!getSupabaseEnv()) return null;
  const supabase = await createServerSupabase();
  const { data, error } = await supabase.auth.getClaims();
  const claims = error ? null : data?.claims;
  if (!isAuthorClaims(claims)) return null;
  return { supabase, userId: claims.sub, email: claims.email ?? "" };
}

/** For admin pages and Server Actions: every entry point checks again, the proxy is not enough. */
export async function requireAuthor() {
  const author = await getAuthor();
  if (!author) redirect(LOGIN_PATH);
  return author;
}

const { data } = await supabase.auth.getClaims();
const isLoginPage = request.nextUrl.pathname === LOGIN_PATH;

if (!isLoginPage && !isAuthorClaims(data?.claims)) {
  const redirect = NextResponse.redirect(new URL(LOGIN_PATH, request.url));
  // Keep any refreshed/cleared auth cookies on the redirect response.
  for (const cookie of response.cookies.getAll()) redirect.cookies.set(cookie);
  redirect.headers.set("cache-control", "private, no-store");
  return redirect;
}

const supabase = await createServerSupabase();
const { error } = await supabase.auth.signInWithPassword({ email, password });
// One generic message for every failure so the form does not reveal which accounts exist.
if (error) return { error: "Email hoặc mật khẩu không đúng." };

const { data } = await supabase.auth.getClaims();
if (!isAuthorClaims(data?.claims)) {
  await supabase.auth.signOut();
  return { error: "Tài khoản này chưa có quyền tác giả." };
}

redirect("/admin");