View umgeht Row Level Security

Views laufen in Postgres standardmäßig mit den Rechten ihres Besitzers, in Supabase meist `postgres`. Die RLS-Policies der Tabellen darunter gelten dann nicht: Wer die View lesen darf, sieht alle Zeilen, die sie zeigt — auch die anderer Nutzer.

Das fällt kaum auf, weil die Tabellen selbst sauber geschützt sind und jede Prüfung der Policies grün ist. Die View ist ein zweiter, ungeschützter Eingang zu denselben Daten. Der Supabase Security Advisor meldet das als „Security Definer View“, Materialized Views kennen gar kein RLS.

Fix: Views mit `security_invoker = true` anlegen, dann gelten die Policies der Tabellen für den Aufrufer. Materialized Views gehören in ein Schema, das die API nicht ausliefert.