Supabase が REVOKE した関数に自動で anon GRANT し直す罠と完全な対処法

Supabase で SECURITY DEFINER 関数を作成し、セキュリティのために REVOKE ALL ON FUNCTION FROM PUBLIC を migration に書いたのに、anon キーで呼び出すと permission denied にならず成功してしまう——この現象に遭遇したことはないか？

原因は Supabase の default ACL 自動付与にある。Supabase は migration 実行後に内部処理で anon と authenticated ロールへの GRANT を自動的に再付与する。つまり REVOKE を書いても次の migration で上書きされ続ける。

confirm_transaction、consume_wallet_challenge などの RLS バイパス関数が、実は anon から呼び放題になっているケースが多い。本稿では問題の仕組みと、to_regprocedure() を使った冪等な REVOKE migration パターンを解説する。