Lovable + Supabase: Autenticação e Segurança de Dados com RLS

Um dos maiores pontos fortes do Lovable é a integração nativa com Supabase para autenticação e banco de dados. Mas para apps de produção, você precisa entender como funciona a Row Level Security (RLS) — o mecanismo que garante que cada usuário veja apenas seus próprios dados.

Por que o RLS é crítico

Sem RLS, qualquer usuário autenticado pode acessar os dados de qualquer outro usuário. Isso é uma vulnerabilidade grave. O RLS define regras no banco de dados que filtram automaticamente os dados por usuário.

Como pedir o RLS ao Lovable

Quando você pede ao Lovable para criar uma tabela, especifique explicitamente a política de segurança:

Crie uma tabela "projects" com os campos:
- id (uuid, gerado automaticamente)
- user_id (uuid, referência ao auth.users)
- name (texto, obrigatório)
- description (texto)
- created_at (timestamp)

Configure RLS para que:
- Usuários autenticados podem ver apenas seus próprios projetos (WHERE user_id = auth.uid())
- Ao inserir, o user_id deve ser preenchido automaticamente com o ID do usuário logado
- Usuários só podem editar e deletar seus próprios projetos

O Lovable vai gerar as migrations SQL com as policies corretas.

Verificando as policies no Supabase

Depois de conectar o Supabase, acesse o painel do Supabase → Table Editor → clique na tabela → Authentication. Você verá as RLS policies ativas. Confirme que todas as operações (SELECT, INSERT, UPDATE, DELETE) têm policies configuradas.

Tipos de autenticação suportados

E-mail e senha (mais comum)

Configure autenticação com e-mail e senha. Inclua:
- Página de registro com confirmação de senha
- Verificação de e-mail obrigatória antes de acessar o app
- Página de login com link "Esqueci minha senha"
- Logout com limpeza da sessão

Login social (Google, GitHub)

Adicione login com Google como opção na página de login.
Mantenha o e-mail/senha como alternativa.

Perfis de usuário

O Supabase armazena apenas e-mail e ID no auth.users. Para dados adicionais (nome, avatar, preferências), crie uma tabela profiles:

Crie uma tabela "profiles" vinculada ao auth.users com:
- id (mesmo UUID do auth.users)
- full_name (texto)
- avatar_url (texto)
- created_at

Popule automaticamente quando um usuário se cadastra.
Exiba o nome do usuário no header do app após o login.

Testando a segurança

Sempre teste com dois usuários diferentes:

1. Crie dados com o usuário A
2. Faça login com o usuário B
3. Confirme que os dados do usuário A não aparecem

Se os dados aparecerem, o RLS não está configurado corretamente. Peça ao Lovable:

O usuário B está conseguindo ver os dados do usuário A.
Verifique as RLS policies da tabela "projects" e corrija para
garantir isolamento completo entre usuários.

Variáveis de ambiente

O Lovable gerencia as variáveis de ambiente do Supabase automaticamente quando você conecta seu projeto. Para variáveis extras (APIs externas, etc.):

Preciso adicionar uma chave de API externa. Crie uma variável de 
ambiente chamada VITE_API_KEY e use-a no arquivo de integração.

Segurança não é opcional — é o que separa um prototype de um produto real.