RPC EXECUTE Grants

Qué significa “RPC EXECUTE Grants” (explicación simple)

RPC EXECUTE Grants . Builders use this concept to reduce accidental exposure and keep sensitive operations behind clear authorization boundaries.

En resumen: si alguien puede acceder al recurso directamente (sin pasar por tu backend), el control real está en la base/Storage/RPC — no en tu UI.

Explicación técnica: cómo funciona RPC EXECUTE Grants en Supabase

Las funciones RPC pueden exponer lógica de negocio directamente. Si EXECUTE está permitido para PUBLIC/anon/authenticated, un atacante puede llamar funciones sin pasar por tu UI. En algunos casos, funciones con privilegios elevados (por ejemplo, SECURITY DEFINER) pueden leer datos sensibles incluso si tablas tienen RLS, si la función no valida bien. La postura segura es: RPC privilegiada solo desde backend, con autorización explícita y verificación.

Rutas de ataque y fallos comunes (RPC EXECUTE Grants)

• EXECUTE público en funciones sensibles.
• Parámetros permiten acceder a filas no autorizadas (bypass).
• Funciones con privilegios elevados sin controles estrictos.
• Deriva de grants: nuevas funciones se publican sin revisión.
• La UI limita acciones, pero RPC acepta llamadas directas.

Dónde mirar en tu proyecto (Supabase)

• Grants EXECUTE por rol en funciones y esquemas.
• Inventario de funciones y cuáles son privilegiadas.
• Validación de ownership/tenant dentro de la función o en el backend wrapper.
• Código del cliente que llama RPC directamente.

Cómo suele fallar RPC EXECUTE Grants en Supabase

Estos son patrones que aparecen una y otra vez en proyectos reales:

• Revoking grants on one signature while other overloads remain callable.
• Forgetting to remove PUBLIC/anon grants after repurposing a function for customer-facing work.
• Assuming function-level logic is safe simply because the related tables are locked down.

Cómo detectar problemas de RPC EXECUTE Grants

El objetivo es comprobar el comportamiento real, no lo que “parece” en la UI.

• Enumera funciones y busca EXECUTE para PUBLIC/anon/authenticated.
• Prueba llamar la función como anon y observa si responde.
• Revisa funciones que leen tablas sensibles o hacen acciones privilegiadas.
• Busca funciones nuevas tras migraciones sin revisión de permisos.
• Comprueba si hay rutas alternativas para la misma acción (REST).

Cómo corregir RPC EXECUTE Grants (enfoque backend-only)

1. Revoca EXECUTE a roles de cliente para funciones privilegiadas.
2. Crea endpoints backend que llamen RPC tras autorización y validación.
3. Reduce funciones expuestas y documenta qué es server-only.
4. Verifica que llamadas directas desde cliente fallan.
5. Añade checklist de funciones en migraciones.
6. Re-escaneo y monitorización.

Checklist de verificación (después de corregir)

1. RPC privilegiada falla para anon/authenticated cuando no corresponde.
2. Backend endpoint funciona para usuarios autorizados.
3. No hay EXECUTE público en funciones sensibles tras la corrección.
4. Checklist detecta nuevas funciones/grants en el futuro.
5. Escaneo confirma reducción de superficie RPC.

Prevención de drift (para que no vuelva)

• Proceso de revisión de funciones en cada migración.
• Preferir server-only para acciones privilegiadas.
• Inventario de funciones + auditoría periódica de EXECUTE.

Ejemplos y por qué funcionan

Estos ejemplos muestran escenarios concretos, causa raíz y corrección:

• Public RPC exposes admin export → /examples/rpc-execute-grants/public-rpc-admin-export — An admin export function remained callable by authenticated users because EXECUTE permissions were never tightened.
• Overloaded function signature was missed → /examples/rpc-execute-grants/overloaded-function-signature-missed — One overload stayed executable because the REVOKE skipped a signature.

Úsalos para reconocer el patrón en tu propio esquema y repetir la verificación.

Enlaces relacionados (English canonical + templates)

• English canonical: RPC EXECUTE Grants → /glossary/rpc-execute-grants
• Template: Lock down RPC: revoke EXECUTE from public roles → /templates/rpc-functions/lock-down-rpc-execute

Preguntas rápidas (auto‑evaluación)

Si respondes “sí” a cualquiera de estas preguntas, vale la pena priorizar este fix:

• ¿Puedo acceder al recurso con una llamada directa (sin pasar por mi backend)?
• ¿El control de acceso depende de la UI (botones/ocultar pantallas) en lugar de la base/Storage?
• ¿No tengo una verificación repetible que pueda ejecutar tras migraciones?
• ¿Hay diferencias entre dev/staging/prod que podrían reintroducir exposición (drift)?
• ¿Estoy usando políticas/grants amplios por “comodidad” y sin documentación?

El objetivo no es “hacerlo perfecto”; es reducir exposición con un cambio pequeño, verificable y repetible.

Notas culturales/idioma

Esta página está optimizada para consultas en فارسی. Si necesitas máxima precisión técnica, usa también la página en inglés (canonical).

Resumen rápido (para llevar)

• Valida siempre con acceso directo: los atacantes no usan tu UI.
• Prefiere backend-only para recursos sensibles y usa verificación repetible.
• Después de cada migración, re-ejecuta checks para evitar drift.
• Mantén secretos server-only y revisa grants/políticas/buckets/EXECUTE con disciplina.

Plantilla de “enunciado de límite” (para documentar el fix)

Este enunciado te ayuda a dejar claro el modelo de acceso y a detectar regresiones:

• Solo el backend puede (operación) sobre (recurso) tras autorización explícita.
• El cliente no debe poder acceder directamente a (tabla/bucket/función) con credenciales anon/auth.
• Verificación: la llamada directa (describe la petición) debe fallar en dev/staging/prod.

Guardar este enunciado junto con la evidencia (antes/después) hace que revisiones y migraciones sean más seguras.

Mini ejemplo de verificación (sin SQL)

Si quieres una verificación rápida sin meterte en SQL, usa este enfoque:

1. Antes del fix, intenta una llamada directa desde el cliente (REST/RPC/Storage) y guarda el resultado.
2. Aplica el cambio (backend-only + revocar accesos amplios) y repite la misma llamada directa.
3. Confirma que ahora falla con una denegación clara, y que el backend autorizado sigue funcionando.
4. Repite en staging/prod para evitar el clásico “funciona en dev”.

Si estas cuatro líneas se cumplen, tu corrección es real y resistente a regresiones.

Plan operativo de 7 días (aplícalo sin bloquear producto)

Este plan está pensado para equipos pequeños que necesitan mejorar seguridad sin frenar entregas. La idea es hacer un cambio corto, verificable y repetible cada día, con foco en evidencia y no en teoría.

1. Día 1: identifica el recurso más sensible relacionado con este término y reproduce el riesgo con una llamada directa.
2. Día 2: crea o ajusta la ruta backend-only y documenta la regla de autorización en una frase.
3. Día 3: revoca el acceso directo amplio desde cliente (grants, bucket público o EXECUTE público, según aplique).
4. Día 4: ejecuta verificación en dev y staging con la misma prueba directa; debe fallar de forma consistente.
5. Día 5: repite en producción y guarda evidencia mínima (qué cambió, prueba usada, resultado esperado).
6. Día 6: añade guardrail post-migración (scan o checklist) para evitar drift silencioso.
7. Día 7: revisa una ruta relacionada (tabla, Storage o RPC) y repite el ciclo con menor fricción.

Si mantienes este ritmo semanal, reduces exposición real sin depender de “arreglos heroicos” de último minuto.

Siguiente paso

Si sospechas exposición en tu proyecto, ejecuta un escaneo y valida el acceso directo. Después aplica un template y verifica que el acceso desde el cliente ya no funcione.