Supabase Edge Function으로 service_role 키를 안전하게 격리하는 법 — 결제 웹훅, 권한 상승 등 RLS가 커버 못 하는 작업 처리하기

// 목적이 다른 두 클라이언트
const userClient = createClient(
  Deno.env.get('SUPABASE_URL')!,
  Deno.env.get('SUPABASE_ANON_KEY')!,
  {
    global: {
      headers: { Authorization: req.headers.get('Authorization')! }
    }
  }
)
// ↑ 요청자의 JWT를 그대로 전달 → RLS가 해당 사용자 컨텍스트로 적용됨
 
const adminClient = createClient(
  Deno.env.get('SUPABASE_URL')!,
  Deno.env.get('SUPABASE_SERVICE_ROLE_KEY')!
)
// ↑ service_role → RLS 완전 우회, 관리자 전용 작업에만 사용

// supabase/functions/stripe-webhook/index.ts
import { createClient } from 'https://esm.sh/@supabase/supabase-js@2'
import Stripe from 'https://esm.sh/stripe@13'
 
const stripe = new Stripe(Deno.env.get('STRIPE_SECRET_KEY')!)
const adminClient = createClient(
  Deno.env.get('SUPABASE_URL')!,
  Deno.env.get('SUPABASE_SERVICE_ROLE_KEY')!
)
 
Deno.serve(async (req) => {
  // 1단계: Stripe 서명 검증 — 이게 없으면 누구나 위조 요청을 보낼 수 있음
  const sig = req.headers.get('stripe-signature')!
  const body = await req.text()
 
  let event: Stripe.Event
  try {
    event = stripe.webhooks.constructEvent(
      body,
      sig,
      Deno.env.get('STRIPE_WEBHOOK_SECRET')!
    )
  } catch {
    return new Response('Invalid signature', { status: 400 })
  }
 
  // 2단계: 이벤트 타입 확인 후 service_role로 주문 완료 처리
  if (event.type === 'payment_intent.succeeded') {
    const paymentIntent = event.data.object as Stripe.PaymentIntent
    const orderId = paymentIntent.metadata.order_id
 
    // Stripe는 응답이 늦으면 웹훅을 재시도합니다.
    // 실무에서는 orders 테이블에 idempotency_key(payment_intent.id)를
    // 저장해 중복 처리를 방지하는 것을 권장합니다.
    const { error } = await adminClient
      .from('orders')
      .update({
        status: 'paid',
        paid_at: new Date().toISOString()
      })
      .eq('id', orderId)
 
    if (error) {
      console.error('Order update failed:', error)
      return new Response('Internal error', { status: 500 })
    }
  }
 
  return new Response('ok', { status: 200 })
})

# supabase/config.toml
[functions.stripe-webhook]
verify_jwt = false

// supabase/functions/promote-user/index.ts
import { createClient } from 'https://esm.sh/@supabase/supabase-js@2'
 
const ALLOWED_ROLES = ['editor', 'admin', 'superadmin'] as const
type AllowedRole = typeof ALLOWED_ROLES[number]
 
Deno.serve(async (req) => {
  // 요청 바디를 먼저 파싱 (인증 결과와 무관하게 읽을 수 있음)
  const { targetUserId, newRole } = await req.json()
 
  if (!targetUserId || !ALLOWED_ROLES.includes(newRole as AllowedRole)) {
    return new Response('Invalid request body', { status: 400 })
  }
 
  // 1단계: 요청자 JWT로 신원 확인
  const userClient = createClient(
    Deno.env.get('SUPABASE_URL')!,
    Deno.env.get('SUPABASE_ANON_KEY')!,
    {
      global: {
        headers: { Authorization: req.headers.get('Authorization') ?? '' }
      }
    }
  )
 
  const { data: { user }, error: authError } = await userClient.auth.getUser()
  if (authError || !user) {
    return new Response('Unauthorized', { status: 401 })
  }
 
  // 2단계: RLS가 적용된 상태로 요청자 프로필 조회
  // → 본인 프로필만 볼 수 있는 RLS 정책이 여기서 보호막 역할
  const { data: profile } = await userClient
    .from('profiles')
    .select('role')
    .eq('id', user.id)
    .single()
 
  if (profile?.role !== 'superadmin') {
    return new Response('Forbidden', { status: 403 })
  }
 
  // 3단계: 검증 통과 후 adminClient로 대상 유저 역할 변경
  const adminClient = createClient(
    Deno.env.get('SUPABASE_URL')!,
    Deno.env.get('SUPABASE_SERVICE_ROLE_KEY')!
  )
 
  const { error: updateError } = await adminClient.auth.admin.updateUserById(
    targetUserId,
    { user_metadata: { role: newRole } }
  )
 
  if (updateError) {
    return new Response('Update failed', { status: 500 })
  }
 
  return new Response(
    JSON.stringify({ success: true }),
    { headers: { 'Content-Type': 'application/json' } }
  )
})

// 버전 태그를 고정하지 않으면 최신 버전에서 API가 달라 오류가 날 수 있습니다
import { Client } from 'https://deno.land/x/postgres@v0.17.0/mod.ts'
 
const UUID_REGEX = /^[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12}$/i
 
Deno.serve(async (req) => {
  const { userId, productId, quantity } = await req.json()
 
  // SET LOCAL에는 파라미터 바인딩이 직접 적용되지 않으므로
  // 외부 입력값인 userId를 SQL에 삽입하기 전 UUID 형식을 반드시 검증합니다
  if (!UUID_REGEX.test(userId)) {
    return new Response('Invalid userId', { status: 400 })
  }
 
  // deno-postgres는 매 요청마다 새 연결을 생성합니다.
  // 트래픽이 많다면 PgBouncer 같은 연결 풀러를 앞단에 두는 것을 권장합니다.
  const client = new Client(Deno.env.get('DATABASE_URL')!)
  await client.connect()
 
  try {
    await client.queryArray('BEGIN')
 
    // RLS를 특정 userId 컨텍스트로 적용
    // → 해당 트랜잭션 내에서만 이 유저로 동작
    await client.queryArray(
      `SET LOCAL request.jwt.claims.sub = '${userId}'`
    )
    await client.queryArray(`SET LOCAL ROLE authenticated`)
 
    // 이후 쿼리는 userId 기준 RLS가 적용된 상태로 실행됩니다
    await client.queryArray(
      `UPDATE inventory SET stock = stock - $1 WHERE product_id = $2`,
      [quantity, productId]
    )
    await client.queryArray(
      `INSERT INTO orders (user_id, product_id, quantity) VALUES ($1, $2, $3)`,
      [userId, productId, quantity]
    )
 
    await client.queryArray('COMMIT')
    return new Response(JSON.stringify({ success: true }))
  } catch (e) {
    await client.queryArray('ROLLBACK')
    return new Response('Transaction failed', { status: 500 })
  } finally {
    await client.end()
  }
})