Política USING (true): acceso abierto a todo

Arréglalo tú, gratis

Se revisa en el panel y se arregla en el panel. Lo único que necesitas traer de casa es la respuesta a una pregunta por tabla: quién debería poder ver esto.

1. 01En Supabase, ve a Authentication y luego Policies. Verás todas las políticas agrupadas por tabla, con su condición a la vista.
2. 02Busca las que tengan como condición la palabra true, sola. Repásalas todas: también las de inserción, actualización y borrado, no solo las de lectura. Una política de borrado abierta es bastante peor que una de lectura.
3. 03Por cada una, mira qué contiene esa tabla en el editor de datos. Si hay correos, nombres, pedidos, mensajes o cualquier cosa que identifique a una persona, esa política hay que cambiarla.
4. 04Sustituye la condición por la que corresponda. Para datos que solo debe ver su dueño, la condición compara el identificador del usuario de la sesión con la columna de propietario de la fila. Para datos que ve cualquier usuario registrado pero no el público general, basta con exigir que haya sesión iniciada.
5. 05Guarda y prueba la app entera, no solo la pantalla que estabas mirando. Un cambio de política afecta a todos los sitios donde se lea esa tabla.
6. 06Comprueba que ha funcionado desde fuera: abre tu app en una ventana de incógnito, sin iniciar sesión, y mira si esa pantalla sigue enseñando datos. Si los enseña, la política no se ha aplicado o hay otra por debajo permitiéndolo.

Cuidado con las columnas de propietario vacías. Si añadiste esa columna después de tener filas creadas, las antiguas la tienen a nulo y no coincidirán con nadie: dejarán de verse. Eso no es un fallo de la política, es que hay que rellenarlas.

Y esto para la parte de código

Pégaselo tal cual al agente que escribió tu app. Está redactado para que te diga lo que ha hecho, no solo para que lo haga.

En mi proyecto de Supabase hay políticas de seguridad por filas con la condición puesta a true, que dejan pasar a cualquiera.

Necesito que hagas esto:
1. Dime, por cada tabla que use la app, qué datos contiene y si esos datos pertenecen a un usuario concreto o son públicos.
2. Para las tablas con datos de personas, escríbeme en SQL la política que debería sustituir a la abierta, separada por operación (lectura, inserción, modificación, borrado), con un comentario que diga a quién deja hacer qué.
3. Comprueba que el código rellena siempre la columna de propietario al crear filas nuevas. Si no lo hace, corrígelo, porque si no las políticas nuevas dejarán fuera todo lo que se cree a partir de ahora.
4. Dime si alguna pantalla de la app depende de leer datos de otros usuarios. Si la hay, quiero saberlo antes de cerrar nada, porque esa pantalla dejará de funcionar y hay que decidir qué hacemos con ella.

No apliques nada en la base de datos: dame el SQL para que lo revise yo.