你的 SaaS 能通过 RLS 测试，却仍可能泄露数据

用 Supabase 构建应用时，通过 RLS 测试并不等于整个应用安全：使用 service-role key 的服务端路由仍需自行验证调用方身份并执行租户权限。一位正在开发 Next.js + Supabase B2B SaaS starter 的开发者因此重新审视这些安全边界，并向社区征集多租户 SaaS 中最易被忽视的安全错误。