인증 vs 인가 — 로그인은 시작일 뿐

// ❌ 위험: 로그인만 확인, 인가 누락 — IDOR 취약점
app.delete("/api/posts/:id", async (req, res) => {
  if (!req.user) return res.status(401).end();
  await db.deletePost(req.params.id);    // 남의 글도 삭제 가능!
  res.json({ ok: true });
});

// ✅ 안전: 소유권 체크 (인가)
app.delete("/api/posts/:id", async (req, res) => {
  if (!req.user) return res.status(401).end();
  const post = await db.getPost(req.params.id);
  if (!post) return res.status(404).end();

  // 인가: 본인 or 관리자만 삭제 허용
  if (post.authorId !== req.user.id && req.user.role !== "admin") {
    return res.status(403).end();
  }
  await db.deletePost(req.params.id);
  res.json({ ok: true });
});

-- Supabase Row Level Security (RLS)
ALTER TABLE posts ENABLE ROW LEVEL SECURITY;

-- "본인이 작성한 글만 삭제 가능" 정책
CREATE POLICY "users can delete own posts"
ON posts FOR DELETE
USING (auth.uid() = author_id);

-- "모두 읽기 가능, 쓰기는 로그인 유저만"
CREATE POLICY "public read" ON posts FOR SELECT USING (true);
CREATE POLICY "auth write" ON posts FOR INSERT
  WITH CHECK (auth.uid() IS NOT NULL);