PolarDB Supabase业务数据多租隔离方案

认证机制

为确保只有授权的后端服务才能调用高权限的管理接口，您需要在每次调用租户管理API时携带以下HTTP头：

Authorization: Bearer <SERVICE_ROLE_KEY>
apikey: <SERVICE_ROLE_KEY>

租户管理API端点

Auth组件提供了完整的租户（Instance）管理能力，路径前缀为/auth/v1/admin/instances。

调用示例（使用Node.js fetch）

async function createNewTenant(id: string, name: string) {
  const response = await fetch('https://<your-supabase-url>/auth/v1/admin/instances', {
    method: 'POST',
    headers: {
      'Content-Type': 'application/json',
      'Authorization': `Bearer ${process.env.SERVICE_ROLE_KEY}`,
      'apikey': process.env.SERVICE_ROLE_KEY
    },
    body: JSON.stringify({ id, name })
  });

  if (!response.ok) {
    const error = await response.json();
    throw new Error(`Failed to create tenant: ${error.message}`);
  }

  return await response.json();
}

租户数据结构初始化

创建租户后，可以通过Postgres Meta组件提供的SQL执行接口来初始化数据库结构。

• API端点：POST /pg/query

• 请求示例：

  说明

  Meta组件会根据X-Instance-ID请求头自动切换到对应租户的数据库角色和Schema。所有SQL语句均在该租户的沙箱内执行，建议将初始化SQL脚本统一管理，确保所有租户拥有一致的数据库结构。

  async function initializeTenantSchema(instanceId: string) {
    const initSQL = `
      -- 在租户 schema 中创建表
      CREATE TABLE IF NOT EXISTS products (
        id BIGSERIAL PRIMARY KEY,
        name TEXT NOT NULL,
        price DECIMAL(10,2),
        created_at TIMESTAMPTZ DEFAULT NOW()
      );
  
      -- 启用 RLS
      ALTER TABLE products ENABLE ROW LEVEL SECURITY;
  
      -- 创建 RLS 策略
      CREATE POLICY "Users can view all products"
        ON products FOR SELECT
        USING (true);
    `;
  
    const response = await fetch('https://<your-supabase-url>/pg/query', {
      method: 'POST',
      headers: {
        'Content-Type': 'application/json',
        'Authorization': `Bearer ${process.env.SERVICE_ROLE_KEY}`,
        'apikey': process.env.SERVICE_ROLE_KEY,
        'X-Instance-ID': instanceId
      },
      body: JSON.stringify({ query: initSQL })
    });
  
    if (!response.ok) {
      const error = await response.json();
      throw new Error(`Failed to initialize tenant schema: ${error.message}`);
    }
  
    return await response.json();
  }

获取您的租户凭证

登录SaaS平台管理后台获取以下信息：

• 租户访问标识（Instance ID）：用于标识您的租户的唯一UUID。

• Supabase URL：平台提供的Supabase服务地址。

• Anon Key：前端应用使用的匿名访问密钥（secret.jwt.anonKey）。

用户注册

注册新用户时，只需在标准的signUp调用中，通过请求头传入您的租户访问标识（Instance ID）即可。

import { createClient } from '@supabase/supabase-js';

const supabase = createClient(SUPABASE_URL, SUPABASE_ANON_KEY, {
  global: {
    headers: {
      'X-Instance-ID': INSTANCE_ID
    }
  }
});

async function handleSignUp(email: string, password: string) {
  const { data, error } = await supabase.auth.signUp({
    email,
    password
  });
  // ... 处理结果
}

数据访问（已登录用户）

用户登录后，系统将自动确认其所属租户，将数据操作限定在租户Schema内。使用方式与标准Supabase SDK完全一致：

import { createClient } from '@supabase/supabase-js';

const supabase = createClient(SUPABASE_URL, SUPABASE_ANON_KEY, {
  global: {
    headers: {
      'X-Instance-ID': INSTANCE_ID
    }
  }
});

async function getProducts() {
  const { data: products, error } = await supabase
    .from('products')
    .select('*');

  // 'products' 数组中只包含属于当前租户的数据
}

公开数据访问（匿名用户）

如果您的应用有公开页面（如博客、产品展示），需要在创建Supabase客户端时通过headers注入您的租户访问标识（Instance ID）。

import { createClient } from '@supabase/supabase-js';

const INSTANCE_ID = 'your-instance-uuid';

const publicSupabaseClient = createClient(SUPABASE_URL, SUPABASE_ANON_KEY, {
  global: {
    headers: {
      'X-Instance-ID': INSTANCE_ID
    }
  }
});

async function getPublicPosts() {
  const { data, error } = await publicSupabaseClient
    .from('public_posts')
    .select('*');
}