1环境变量
配置完整SUPABASE_URL
项目地址，格式 https://xxx.supabase.co
SUPABASE_ANON_KEY
匿名密钥。只在服务器用，浏览器拿不到
2数据表
6 张表全部就位profiles
用户资料（昵称、每日目标）
sources
原始素材（链接/文字/PDF）
cards
知识卡片（问题 + 答案）
reviews
复习流水记录
tags
标签
card_tags
卡片与标签的关系
3匿名访客能读到多少数据
一张表都读不到下面这个测试完全不看前端逻辑，直接请求数据库接口， 而且【不带任何登录身份】—— 模拟的是一个陌生人。
- profiles0 行
- sources0 行
- cards0 行
- reviews0 行
- tags0 行
- card_tags0 行
安全。anon 密钥是公开的（任何人都能从网页代码里拿到）， 但它读不到任何数据。这就是 RLS 在起作用。
4这一页测不出什么
- 登录用户之间会不会互相看到数据 —— 只有一个账号时测不出来，需要第二个账号
- 写入路径有没有校验用户归属 —— 要等 M7 真正写入数据
- AI 接口是否通 —— M9 才接入
为什么写明测不出什么？真实项目里最危险的不是「报错」， 而是「看起来正常但其实没验证」。明确写下盲区，才不会把 「没测过」误当成「没问题」。