Supabase Agent Skill

Sélectionné par Skill Harbor — le skill agent maître pour tout travail Supabase par l'équipe Supabase, applicable à toute tâche touchant la base de données, Auth, Edge Functions, Realtime, Storage, Vectors, Cron ou Queues : trois principes non négociables — vérifier contre le changelog et la doc actuelle avant d'implémenter (Supabase évolue vite ; ne jamais faire confiance aux données d'entraînement), vérifier chaque correctif avec une requête de test (un correctif non vérifié est incomplet), et sortir des erreurs au lieu de boucler (après 2-3 tentatives échouées, reconsidérer l'approche). Il inclut une checklist de sécurité spécifique à Supabase que l'agent doit appliquer sur toute tâche auth/RLS/vues/storage/données utilisateurs — jamais de claims `user_metadata` pour l'autorisation (modifiable par l'utilisateur ; utilisez `app_metadata`), jamais de clé `service_role` dans les clients publics, les vues contournent le RLS (utilisez `security_invoker = true` sur Postgres 15+), UPDATE exige une politique SELECT, `auth.role()` est déprécié (utilisez la clause `TO`, et `TO authenticated` seul = authentification sans autorisation — combinez-le avec un prédicat de propriété dans `USING`, plus `WITH CHECK` sur les politiques UPDATE), les fonctions `SECURITY DEFINER` contournent le RLS et sont appelables par tous les rôles dans `public`, l'upsert storage exige INSERT + SELECT + UPDATE, et épinglez toujours les versions de paquets avec lockfiles. Il couvre aussi les pièges de la CLI (découverte via `--help` — jamais deviné ; `db query` exige CLI v2.79.0+, `db advisors` v2.81.3+ ; jetons d'accès personnels scopés plutôt que tokens classiques full-access en CI), le setup du serveur MCP et son dépannage (401 sur le endpoint de santé = normal ; flux auth OAuth 2.1), la priorité d'accès à la doc (MCP `search_docs`, puis pages docs récupérées en markdown), et les workflows de schéma — schémas déclaratifs édités d'abord puis migrés, ou migrations impératives où `execute_sql`/`supabase db query` itèrent librement et les migrations ne sont générées qu'une fois prêt (`supabase migration new`, jamais de noms de fichiers inventés ; jamais `apply_migration` pour itérer). Crédit : @supabase. Bémols honnêtes : c'est un skill de politique maîtresse, pas un tutoriel produit pas à pas — combinez-le avec la doc produit vers laquelle il pointe ; la distinction Data API vs RLS (exposer des tables est distinct de la visibilité des lignes) et la checklist de sécurité sont ce que la plupart des gens se trompent, lisez-les avant de toucher auth ou politiques. Skill Harbor ne vérifie jamais le code, examinez-le vous-même avant usage.