Supabase

နားလည်ထားရမယ့် အချက်

Supabase ရဲ့ ပုံသဏ္ဌာန်: အဓိကမှာ standard Postgres database ရှိပြီး Supabase က schema ကနေ တိုက်ရိုက် API generate လုပ်ပေးလို့ basic CRUD အတွက် backend layer ကိုယ်တိုင်ရေးစရာမလိုပါ။

• ပေါင်းစည်းထားသော service အနေနဲ့ Authentication
• Policy-based access ပါသော File storage
• Database change များကို Realtime subscription
• Custom logic အတွက် Serverless function

Architecture: Frontend/Backend -> Supabase, row-level security ပါသော Postgres database, Auth, Storage ဆီ ကွဲထွက်သွားပါတယ်။

Row-level security ဆိုတာ request တောင်းဆိုသူ ဘယ်သူလဲဆိုတာအပေါ်မူတည်ပြီး database ကိုယ်တိုင်က row ဘယ်တွေကို ကြည့်ခွင့်/ပြင်ခွင့်ရှိသလဲ enforce လုပ်ခြင်းဖြစ်ပြီး application code က ဘာပြမလဲ ဆုံးဖြတ်ခြင်း တစ်ခုတည်းမဟုတ်ပါ။

ဒါနှင့်အတူ တကယ့် critical ခွဲခြားချက်တစ်ခု ရှိပါတယ် -- client-accessible key တွေကို row-level security က ကန့်သတ်ထားပြီး server-only secret key တွေကတော့ ဒါကို လုံးဝ ကျော်လွှားနိုင်ပါတယ်။

Row-Level Security

Query တစ်ခုကို ဘယ်သူတောင်းဆိုသလဲဆိုတာအပေါ်မူတည်ပြီး row တစ်ခုချင်းစီအလိုက် access rule ကို database level မှာ enforce လုပ်ပေးတဲ့ security feature ဖြစ်ပြီး application code သာမက database ကိုယ်တိုင်က query တစ်ခုက ဘယ် row တွေကို မြင်နိုင်/ပြောင်းလဲနိုင်လဲဆိုတာကို ထိန်းချုပ်ပေးသည်။

SUPABASE ARCHITECTURE
---------------------
                     +----------------------------+
                     |          Supabase          |
Frontend / Backend ->|  Postgres DB (Row-Level    |
                     |  Security) | Auth | Storage |
                     +----------------------------+

လက်တွေ့ scenario နဲ့ ချိတ်ကြည့်မယ်

Client-accessible key ကို frontend code ထဲ ထားလို့ ရတာက row-level security policy တွေက ဒါနဲ့ ကြည့်/ပြောင်းနိုင်တာကို ကန့်သတ်ပေးလို့ပါ -- policy မှန်ကန်စွာ configure ထားမှသာ ဖြစ်ပါတယ်။

Service-role (သို့) secret key ကတော့ policy အားလုံးကို လုံးဝကျော်လွှားပြီး authorization check ကိုယ်တိုင်လုပ်ပြီးသား trusted server-side code အတွက်သာ ရည်ရွယ်ပါတယ်။

Dashboard specific တွေ ပြောင်းလဲနေတဲ့အတွက် ရေရှည်တည်တံ့မယ့် practice ကတော့ ဖွင့်ထားပြီး ဘာမှမပေါ်ပါစေနဲ့လို့ မျှော်လင့်တာအစား ပိတ်ထားခြင်းဖြင့် စပြီး တမင်တကာ ဖွင့်ခြင်းပါပဲ။

• Supabase ဟာ generated API များမှတစ်ဆင့် ဝင်ရောက်နိုင်သော auth, storage, realtime, functions ထပ်ထည့်ထားသော standard Postgres database တစ်ခုဖြစ်သည်။
• Row-level security က database ကိုယ်တိုင်ကို ဘယ်သူက row ဘယ်ဟာကို ကြည့်/ပြောင်းနိုင်သလဲ enforce လုပ်ခွင့်ပေးသည် -- application code တစ်ခုတည်း မဟုတ်ပါ။
• Client-accessible key နှင့် server-only secret key တို့သည် အပြန်အလှန် အစားထိုးလို့မရပါ -- browser code ထဲတွင် secret key သုံးခြင်းသည် severe security risk တစ်ခု ဖြစ်သည်။

အတူတူ စမ်းရေးကြည့်မယ်

function checkKeyUsage(usage) {
  const { keyType, context } = usage;
  const risky = keyType === "service-role" && context === "browser";
  return risky ? "RISKY: service-role key exposed to browser" : "safe";
}

const scenarios = [
  { label: "anon key in frontend JS", keyType: "public-anon", context: "browser" },
  { label: "service-role key in frontend JS", keyType: "service-role", context: "browser" },
];

for (const s of scenarios) {
  console.log(`${s.label} -> ${checkKeyUsage(s)}`);
}

anon key in frontend JS -> safe
service-role key in frontend JS -> RISKY: service-role key exposed to browser
(anon key ကို row-level security က ကန့်သတ်ထားပြီး service-role key ကတော့ ကန့်သတ်ချက်အားလုံး ကျော်လွှားနိုင်တာကြောင့် risky ဖြစ်သည်။)

PostgreSQL Documentation: Row Security Policies — Cloud Providers & Platforms