Saltar al contenido
dumonde
PreguntaÚnete
Banco de tareas

SEG-001SeguridadAntes de lanzar

Ocultar la autora de los avisos también a las verificadas

Dificultad
Avanzada
Estimación
1d
Estado
Hecha · @dumonde-lab
Habilidades
postgressupabase-rlssupabase-realtimetypescript

Zona sensible. Toca permisos, datos personales, el mapa, secretos o la identidad de marca. Necesita revisión de la titular y conviene haber completado alguna tarea antes.

Contexto

Una persona verificada podía pedir avisos?select=* y recibir la columna autora con coordenadas exactas, también por Realtime. Cruzándolo con perfiles sabía quién avisó de cada desahucio: un contramovimiento con un aval robado podía fichar activistas. Implementado por DuMonde Lab el 3-oct-2026; falta probarlo contra un Supabase real.

Qué hacer

  1. Hecho: revoke all on avisos, vista avisos_verificadas sin autora, avisos fuera de supabase_realtime, RPC borrar_mi_aviso() y MapaApp leyendo la vista con refresco de 20 s.
  2. Pendiente: desplegar en una instancia de pruebas y comprobar los criterios con JWT reales; añadir la prueba SQL (pgTAP) al repositorio.

Criterios de aceptación

  • El cliente ya no pide ni recibe la columna autora

  • Con el JWT de una verificada, GET /rest/v1/avisos?select=autora devuelve error o vacío (probado contra Supabase)

  • Los avisos no se publican por Realtime

  • La autora puede borrar su aviso y nadie más salvo moderación (probado)

  • Prueba SQL documentada en el repositorio

Archivos

Todo lo demás