# Bütün kullanıcılar

> Test için bir uygulama kurdum. Bütün kullanıcıların listesini bir saniyede çektim.

URL: https://iamcanturk.dev/shorts/butun-kullanicilar/
Pixel Shorts #12 · 26 Ekim 2026 · geliştirici

---

**Kısaca:** Supabase'de publishable key'in tarayıcıda durması normaldir; tabloyu koruyan RLS'tir. RLS kapalıysa key'i alan herkes bütün tabloyu okur: her tabloda RLS'i aç ve policy'ye sadece true yazma.

Kod sorunsuz çalışıyordu. Veritabanının key'i tarayıcıdaydı, ama bu normal.


## Videoda ne anlatıyorum?
Test için bir uygulama kurdum. Bütün kullanıcıların listesini bir saniyede çektim. Kod sorunsuz çalışıyordu. Veritabanının key'i tarayıcıdaydı, ama bu normal. İki key var. Publishable key tarayıcıda durabilir. Secret key asla. Asıl kapı RLS. Asistan onu açmayı unutmuş. Bu sadece bende olmadı. Bir araştırmacı Lovable'la yapılmış bin altı yüz kırk beş projeyi taradı. Yüz yetmişinde RLS eksikti. Bu bir CVE oldu. Lovable'a göre veriyi korumak uygulama sahibinin işi. Key'i alan herkes bütün tabloyu okuyabilir. E-postalar, telefonlar, siparişler. Çözüm: her tabloda RLS'i aç. Herkes sadece kendi satırını görsün. Policy tek satır. Satırın sahibi giriş yapan kullanıcıysa göster. Bir tuzak daha. Policy'ye sadece true yazarsan kapıyı yine herkese açarsın. Çıkış yap, aynı isteği tekrar at. Veri geliyorsa kapın açık. Ekrandaki prompt'u asistanına ver, videoyu kaydet. Yarın: sitelerin header'ına gizlenmiş tek cümle. Önceki talimatları unut.