アプリを作るには、画面（フロントエンド）のほかに、データを保存するデータベース、ログインの仕組み、画像などのファイル置き場、それらを外から使うためのAPIが必要です。これらをまとめて提供するサービスをBaaS（Backend as a Service）と呼びます。Supabaseはその1つで、サーバーを自分で用意しなくても、アプリの裏側をすぐに用意できます。
-- Supabase と同じ形を手元の PostgreSQL で再現する（Supabase そのものではない）
-- Supabase では、ログインしていない人は anon、ログインした人は authenticated という役割でデータベースに入る
create role anon nologin;
create role authenticated nologin;
-- auth.uid()：ログイン中のユーザーのIDを返す関数。
-- Supabase ではログイン時に発行される JWT の中身（request.jwt.claims）の sub を読む
create schema auth;
create function auth.uid() returns uuid language sql stable as $$
select (nullif(current_setting('request.jwt.claims', true), '')::jsonb ->> 'sub')::uuid
$$;
grant usage on schema auth to anon, authenticated;
-- ToDo のテーブル。user_id には作った人のIDが自動で入る
create table public.todos (
id bigint generated always as identity primary key,
user_id uuid not null default auth.uid(),
title text not null
);
grant select, insert, update, delete on public.todos to anon, authenticated;
-- 行単位のアクセス制御（RLS）を有効にして、ポリシーを作る
alter table public.todos enable row level security;
create policy "自分のToDoだけ見られる" on public.todos
for select to authenticated
using ((select auth.uid()) = user_id);
create policy "自分のToDoだけ追加できる" on public.todos
for insert to authenticated
with check ((select auth.uid()) = user_id);
-- テスト用のデータ（管理者として入れる。管理者は RLS の影響を受けない）
insert into public.todos (user_id, title) values
('11111111-1111-1111-1111-111111111111', 'Aさん：牛乳を買う'),
('11111111-1111-1111-1111-111111111111', 'Aさん：レポートを出す'),
('22222222-2222-2222-2222-222222222222', 'Bさん：歯医者の予約');
次に、立場を変えながらToDoを読み書きしてみます。set role で役割を切り替え、request.jwt.claims にログイン情報（誰としてログインしているか）を入れています。Supabaseでは、ここをログイン時に発行されるトークンから自動で設定してくれます。
\echo '--- 1. 管理者（RLSの影響を受けない）'
select title from public.todos order by id;
\echo '--- 2. ログインしていない人（anon）'
set role anon;
select title from public.todos order by id;
reset role;
\echo '--- 3. Aさんとしてログイン'
set role authenticated;
set request.jwt.claims = '{"sub": "11111111-1111-1111-1111-111111111111"}';
select title from public.todos order by id;
\echo '--- 4. Aさんが、Bさんのふりをして追加しようとする'
insert into public.todos (user_id, title)
values ('22222222-2222-2222-2222-222222222222', 'いたずら');
\echo '--- 5. Aさんが自分のToDoを追加する（user_id は自動で入る）'
insert into public.todos (title) values ('Aさん：ジムに行く');
select title from public.todos order by id;
\echo '--- 6. Bさんとしてログイン'
set request.jwt.claims = '{"sub": "22222222-2222-2222-2222-222222222222"}';
select title from public.todos order by id;
実行結果です。
--- 1. 管理者（RLSの影響を受けない）
title
-----------------------
Aさん：牛乳を買う
Aさん：レポートを出す
Bさん：歯医者の予約
(3 行)
--- 2. ログインしていない人（anon）
SET
title
-------
(0 行)
RESET
--- 3. Aさんとしてログイン
SET
SET
title
-----------------------
Aさん：牛乳を買う
Aさん：レポートを出す
(2 行)
--- 4. Aさんが、Bさんのふりをして追加しようとする
psql:02_demo.sql:16: ERROR: new row violates row-level security policy for table "todos"
--- 5. Aさんが自分のToDoを追加する（user_id は自動で入る）
INSERT 0 1
title
-----------------------
Aさん：牛乳を買う
Aさん：レポートを出す
Aさん：ジムに行く
(3 行)
--- 6. Bさんとしてログイン
SET
title
---------------------
Bさん：歯医者の予約
(1 行)
\echo '--- RLS を無効にしてしまった場合'
alter table public.todos disable row level security;
set role anon;
select title from public.todos order by id;
reset role;
alter table public.todos enable row level security;
--- RLS を無効にしてしまった場合
ALTER TABLE
SET
title
-----------------------
Aさん：牛乳を買う
Aさん：レポートを出す
Bさん：歯医者の予約
Aさん：ジムに行く
(4 行)
RESET
ALTER TABLE
