Anmeldung und Rechte: wer darf was
Danach können sich Nutzer in deiner App anmelden, die Schutzregeln in der Datenbank setzen deine Tabelle „Wer darf was“ um, und du hast mit zwei Test-Konten geprüft, dass niemand mehr sieht oder ändern kann als erlaubt.
Stand 23. Oktober 2026 · Wir prüfen die Inhalte regelmäßig gegen die aktuellen Programme. Was ist neu?
Jetzt bekommt deine App eine Anmeldung und die Datenbank ihre Schutzregeln (Policies). Die Regeln setzen genau deine Tabelle „Wer darf was“ aus Lektion W.3 um. Das ist die wichtigste Lektion dieser Vertiefung: Hier entscheidet sich, ob die Daten deiner Nutzer sicher sind. Deshalb endet sie mit einem Test, bei dem du absichtlich versuchst, etwas Verbotenes zu tun.
Schritt für Schritt
Wähl die Anmeldeart. Für Einsteiger am einfachsten: Anmeldung per Mail-Link („Magic Link“) – Adresse eingeben, Link in der Mail klicken, fertig. Keine Passwörter, die vergessen werden.
Kenn die Mail-Falle. Supabase verschickt Anmelde-Mails kostenlos nur an Mitglieder deines eigenen Supabase-Teams, und höchstens 2 pro Stunde. Zum Testen reicht das. Für echte Nutzer brauchst du einen eigenen Mail-Dienst (englisch „SMTP“), zum Beispiel Resend: kostenlos bis 3.000 Mails im Monat und 100 am Tag, mit eigener Absender-Domain. Supabase selbst rät dazu.
Erklär mir Schritt für Schritt, wie ich in Supabase einen eigenen Mail-Dienst (SMTP) mit Resend einrichte. Die Zugangsdaten trage ich selbst ein.
Lass die Anmeldung einbauen.
Bau eine Anmeldung per Mail-Link mit Supabase ein. Wer nicht angemeldet ist, sieht nur die Anmeldeseite. Zeig oben, wer angemeldet ist, und einen Abmelde-Knopf.
Lass die Schutzregeln aus deiner Tabelle schreiben.
Lies jede Erklärung und vergleich sie mit deiner Tabelle. Passt eine nicht: sag es. Dann im SQL Editor einfügen und ausführen.
Schreib die RLS-Regeln für alle Tabellen genau nach der Tabelle ‚Wer darf was‘ in PLAN.md. Erklär mir jede Regel in einem Satz in Alltagssprache. Wie erkennt die Datenbank, wer Verwaltung ist? Schlag mir den einfachsten sicheren Weg vor.
Der wichtigste Test: mit zwei Konten. Leg zwei Test-Konten an (zum Beispiel zwei deiner eigenen Mail-Adressen, als Team-Mitglieder in Supabase eingetragen, oder schon mit eigenem Mail-Dienst). Melde dich in zwei verschiedenen Browsern an und versuch:
- Als Mitglied A: dich eintragen – muss gehen.
- Als Mitglied A: die Eintragung von Mitglied B löschen – darf nicht gehen.
- Als Mitglied A: einen Dienst anlegen – darf nicht gehen, das darf nur die Verwaltung.
- Abgemeldet: die Liste sehen – darf nicht gehen.
Erst wenn alle vier Tests so ausgehen wie erwartet, geht es weiter.
Hilf mir, die vier Tests aus Lektion W.6 durchzuführen. Prüf außerdem selbst, ob es irgendeinen Weg gibt, mit dem öffentlichen Schlüssel an Daten zu kommen, die nicht erlaubt sind – auch an der App vorbei, direkt über die Datenbank-Schnittstelle.
Sichere den Stand im Sicherungsbuch und ergänze PLAN.md um „Tests bestanden am …“.
Ich mache gerade die Lektion „W.6 Anmeldung und Rechte: wer darf was“ im AWA Campus und hänge bei diesem Schritt: … Erklär ihn mir bitte einfacher, Schritt für Schritt. Ich bin Anfänger.
- Nutzer sich per Mail-Link anmelden und abmelden können,
- jede Tabelle Schutzregeln hat, die du in Alltagssprache erklären kannst,
- alle vier Tests mit zwei Konten so ausgegangen sind wie erwartet,
- du weißt, ob du für echte Nutzer einen eigenen Mail-Dienst brauchst.
Wörter erklärt
- Policy (Schutzregel): eine Regel in der Datenbank, zum Beispiel „jeder darf nur seine eigene Eintragung löschen“.
- Magic Link: Anmeldung über einen Link per Mail statt Passwort.
- SMTP: der technische Weg, über den Programme Mails verschicken. „Eigener SMTP“ heißt: eigener Mail-Dienst statt des eingebauten.
- Rolle: eine Gruppe mit bestimmten Rechten, zum Beispiel „Mitglied“ oder „Verwaltung“.