Supabase 第5話2026.09.15

【小学生でもわかる】"見えちゃう事故"の止め方！読む扉を閉めても、書く扉は開いたまま

ログインした人として、他人の持ち物として1行書き込めてしまいました。持ち主の欄（user_id）に入っているのは、書いた本人ではない別の人の番号。第4話で「自分の行だけ見えるようにする」をやったばかりなのに、書き込みは止まりませんでした。止まらない理由も、止め方も、今日わかります。

無料プランでできる（無料のプロジェクトは1週間ほど使わないと止まる）

Xで記事を読むシェア

どんな話？

第4話で閉じたのは「読む（SELECT）」の扉だけでした。扉は4つ（読む・足す・直す・消す）あり、ポリシーの USING と WITH CHECK は別の質問をしています。わざと事故を起こして開いていることを確かめ、第3話の練習用ポリシーを消し、INSERT・UPDATE・DELETE を auth.uid() = user_id で閉じ、もう一度事故を起こして 403 と 42501 で止まることを見ます。最後は Advisors に見てもらいます。

この記事でわかること

第4話で閉じたのは「読む」だけ。扉は4つ（SELECT 読む／INSERT 足す／UPDATE 直す／DELETE 消す）
USING は「すでにある行に、さわっていいか」、WITH CHECK は「できあがる行が、それでいいか」。別の質問
WITH CHECK の条件が true の INSERT は、中身を見ずに通す。他人の持ち物として書き込めてしまう
閉じたあと、もう一度わざと事故を起こして、403 と 42501 で止まることを確かめる
鍵なしで読んで0件なのは、エラーではない。返してよい行が1件も無かっただけ。エラーが出ないことは正しさの証明にならない
目視だけで判断しない。Advisors の Warnings から「RLS Policy Always True」が消えたかを見る

やることチェックリスト

0/6

記事を読みながら、できたものにチェックを付けていけます。チェックはこの端末に残ります。

「Database → Policies」で memos のポリシーを並べて見る
「Add user → Create new user」でBさんを作る
Aさんの鍵で、Bさんの user_id を付けて POST し、201 で通るのを見る
「SQL Editor」に6行を貼り、「Run」と「Run query」を押す
同じ POST を送り、403 と 42501 が返るか確かめる
「Advisors → Security Advisor」で「Rerun linter」を押し、警告が消えたか確かめる

くわしい手順と画面の図は、Xの記事にあります。

こんな人に

第4話で「読むほう」だけ閉じて、そのままになっている人
AIに作らせたアプリを公開したいが、情報が漏れないか不安な人
ポリシーを作ったのに、効いているのか確かめる方法を知らない人

この話のTIPS

注意SupabaseのRLSで「読む（SELECT）」だけ閉じても、足す・直す・消すの扉は開いたままです。WITH CHECK の条件が true の INSERT は中身を見ずに通すので、他人の持ち物として書き込めてしまいます。
コツSupabaseで鍵なしで読んで0件なのは、エラーではありません。返してよい行が1件も無かっただけです。「エラーが出ない＝安全」ではないので、わざと事故を起こして 403 と 42501 で止まるか確かめ、Advisors にも見てもらう。

すべてのTIPS