Supabase の 403 エラー：原因と解決策

{
  "code": "403",
  "message": "new row violates row level security policy for table \"users\"",
  "details": "Failing row contains (id, email, name) = (uuid-value, user@example.com, John).",
  "hint": null
}

{
  status: 403,
  statusText: 'Forbidden',
  error: {
    code: '42501',
    message: 'permission denied for schema "public"',
    details: null
  }
}

-- テーブルを作成してRLSを有効にするが、ポリシーは設定しない
CREATE TABLE public.posts (
  id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
  user_id UUID NOT NULL REFERENCES auth.users(id),
  title TEXT NOT NULL,
  created_at TIMESTAMP DEFAULT now()
);

ALTER TABLE public.posts ENABLE ROW LEVEL SECURITY;

-- ポリシーがないため、どのユーザーも読み書きできない

-- テーブルを作成してRLSを有効にする
CREATE TABLE public.posts (
  id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
  user_id UUID NOT NULL REFERENCES auth.users(id),
  title TEXT NOT NULL,
  created_at TIMESTAMP DEFAULT now()
);

ALTER TABLE public.posts ENABLE ROW LEVEL SECURITY;

-- ユーザーが自分のデータだけを読取できるポリシーを作成
CREATE POLICY "Users can read their own posts"
  ON public.posts
  FOR SELECT
  USING (auth.uid() = user_id);

-- ユーザーが自分のデータだけを作成できるポリシーを作成
CREATE POLICY "Users can create their own posts"
  ON public.posts
  FOR INSERT
  WITH CHECK (auth.uid() = user_id);

// フロントエンドで認証済みユーザー（UID: abc-123）がいるとする
const { data, error } = await supabase
  .from('user_profiles')
  .select('*')
  .eq('user_id', 'def-456')  // 異なるユーザーのデータを取得しようとする
  .single();

// RLSポリシーが auth.uid() = user_id のみを許可していれば、403エラーが発生

// 現在のユーザー自身のデータのみを取得する
const { data: { user } } = await supabase.auth.getUser();

const { data, error } = await supabase
  .from('user_profiles')
  .select('*')
  .eq('user_id', user.id)  // 認証済みユーザーのUIDと一致させる
  .single();

// または、RLSポリシーで user_id を省略し、セッションから自動判別させる設定も可

-- ポリシーが具体的に auth.uid() をチェックしているか確認
CREATE POLICY "Users can access own profile"
  ON public.user_profiles
  FOR SELECT
  USING (auth.uid() = user_id);  -- この条件が必須

// フロントエンドで anon key を使用してサーバー側の操作を試みる
const supabase = createClient(
  process.env.REACT_APP_SUPABASE_URL,
  process.env.REACT_APP_SUPABASE_ANON_KEY  // anon key
);

// ユーザーの管理者フラグを強制的に更新しようとする（RLSでブロック）
const { error } = await supabase
  .from('users')
  .update({ is_admin: true })
  .eq('id', 'target-user-id');
// → 403 エラーが発生

// バックエンド（Node.js / Python 等）で service_role key を使用
import { createClient } from '@supabase/supabase-js';

const supabase = createClient(
  process.env.SUPABASE_URL,
  process.env.SUPABASE_SERVICE_ROLE_KEY  // service_role key（機密情報）
);

// サーバー側なら RLS をバイパスして操作可能
const { error } = await supabase
  .from('users')
  .update({ is_admin: true })
  .eq('id', 'target-user-id');

// フロントエンド側では、認可チェック付きの API エンドポイントを呼び出す
const response = await fetch('/api/promote-admin', {
  method: 'POST',
  headers: { 'Content-Type': 'application/json' },
  body: JSON.stringify({ userId: 'target-user-id' })
});

// トークンが期限切れでないか確認
const { data: { user } } = await supabase.auth.getUser();
if (!user) {
  // ユーザーが認証されていない状態 → 匿名アクセスになり403エラーのリスク
  console.log('User is not authenticated');
}

-- テーブルのRLS状態を確認
SELECT schemaname, tablename, rowsecurity
FROM pg_tables
WHERE tablename = 'your_table_name';

-- 特定のテーブルに設定されているすべてのポリシーを表示
SELECT * FROM pg_policies
WHERE tablename = 'your_table_name';