RLS là điểm bắt đầu tốt cho một ứng dụng Supabase, không phải tấm bùa tự động.

Với một publication nhỏ, nguyên tắc quan trọng là public chỉ đọc được taxonomy và bài đã xuất bản. Draft, source item, AI draft, subscriber và audit log phải nằm sau vai trò admin hoặc service-side code.

Checklist thực dụng:

  • Bật RLS trên bảng trong schema public.
  • Grant role vừa đủ để Data API thấy bảng cần thấy.
  • Policy public phải lọc theo trạng thái rõ ràng, ví dụ published và published_at không nằm trong tương lai.
  • Sau khi đổi policy, chạy một truy vấn public hoặc smoke test để chứng minh draft không lộ.

Bước thử nhỏ: tạo một article draft, một article published, rồi query bằng anon key. Nếu cả hai đều xuất hiện, policy đang sai.