RLS-Policy erlaubt allen Zugriff

Diese Regel findet den heimtückischeren Fall: RLS ist aktiviert, aber die Policy lautet sinngemäß „erlaube allen alles“ (using (true)). In jeder Übersicht steht dann ein grünes Häkchen — geschützt ist trotzdem nichts.

Solche Policies entstehen fast immer beim Debuggen. Etwas funktioniert nicht, die Regel wird zum Testen weit geöffnet, danach vergisst man sie. Für die App ändert sich nichts Sichtbares, deshalb fällt es nie auf.

Fix: Jede Policy an die Identität binden — typischerweise auth.uid() = user_id — statt an true. Prüft dabei jede Operation einzeln: Häufig ist SELECT sauber eingeschränkt, während UPDATE oder DELETE noch offen stehen.