Audit privasi donatur sebagai bukti, bukan janji: policy RLS, anon vs authenticated, owner-only donations, guest lookup tanpa PII, dan access matrix.
Platform donasi menyimpan data sensitif:
Kalau data ini bocor, masalahnya bukan hanya bug teknis. Kepercayaan donatur rusak.
Karena itu, kalimat “data aman” tidak cukup. Kamu harus bisa menjawab:
textMigration awal mengaktifkan RLS:
sqlalter table public.donors enable row level security;
alter table public.donations enable row level security;
alter table public.payments enable row level security;Policy penting:
sqlcreate policy "Anyone can create donor"
on public.donors
for insert
to anon, authenticated
with check (true);create policy "User manages own donor"
on public.donors
for select
to authenticated
using (user_id = (select auth.uid()));create policy "Anyone can insert pending donation"
on public.donations
for insert
to anon, authenticated
with check (status = 'pending');create policy "Donor reads own donations"
on public.donations
for select
to authenticated
using (user_id = (select auth.uid()));Artinya:
user_id = null tidak bisa dibaca lewat policy owner biasa;get_donation_by_lookup mengembalikan:
sqldonation_number,
campaign_id,
amount,
status,
is_anonymous,
donor_name_snapshot,
payment_method,
created_atPerhatikan: email dan phone tidak ikut keluar.
Kalau function guest mengembalikan donor_email_snapshot atau donor_phone_snapshot, itu terlalu lebar. Untuk halaman konfirmasi, donatur tidak perlu melihat ulang semua data kontak lewat jalur token publik.
Minta Antigravity membantu membuat dokumen:
textdocs/access-matrix.mdIsinya harus memetakan role dan operasi:
md# Access Matrix — Platform Donasi Amanah
| Role | Tabel/Fungsi | Operasi | Diizinkan? | Alasan |
|---|---|---|---|---|
| anon | campaigns | select published | ya | policy Published campaigns are public |
| anon | donors | insert | ya | policy Anyone can create donor |
| anon | donors | select | tidak | tidak ada select policy anon |
| anon | donations | insert pending | ya | policy Anyone can insert pending donation |
| anon | donations | select direct | tidak | tidak ada select policy anon |
| anon | get_donation_by_lookup | execute | ya, dengan token hash cocok | grant execute + filter lookup_token_hash |
| authenticated | donors | select own | ya | user_id = auth.uid() |
| authenticated | donations | select own | ya | user_id = auth.uid() |
| authenticated | donations milik user lain | select | tidak | user_id tidak cocok |
| admin | verifications | approve/reject | ya jika policy/guard admin ada | role admin + server guard |Dokumen ini tidak menggantikan policy. Ia membuat policy mudah direview.
textMulai dari AGENTS.md, DESIGN.md, dan docs/README.md.
Tugas audit, jangan mengubah policy dulu.
Baca:
- supabase/migrations/20260829_vertical_slice.sql
- migration upload/verifikasi/laporan jika sudah ada
- src/app/donation/confirmation/[donationNumber]/page.tsx
- docs/data-contract.md
Tugas:
1. Daftarkan policy RLS untuk donors, donations, payments, dan campaigns.
2. Jelaskan role anon boleh apa dan tidak boleh apa.
3. Jelaskan authenticated user boleh membaca data siapa.
4. Jelaskan bagaimana guest confirmation bisa bekerja tanpa SELECT donations bebas.
5. Periksa apakah function publik/agregat mengembalikan PII: nama, email, phone, token hash, idempotency key, proof_path.
6. Tulis docs/access-matrix.md.
7. Jika menemukan akses terlalu longgar, laporkan sebagai temuan; jangan memperbaiki tanpa instruksi.
Untuk setiap kesimpulan, kutip policy/function yang menjadi bukti.Audit ini sengaja “jangan mengubah dulu”. Kamu perlu memahami permukaan akses sebelum menambal.
Cek policy dari database:
sqlselect tablename, policyname, roles, cmd, qual, with_check
from pg_policies
where schemaname = 'public'
order by tablename, policyname;Cek RLS aktif:
sqlselect relname, relrowsecurity
from pg_class
where relnamespace = 'public'::regnamespace
and relname in ('campaigns', 'donors', 'donations', 'payments')
order by relname;Cek function return shape:
bashgrep -n "returns table" -A25 supabase/migrations/*.sql
grep -RIn "donor_email_snapshot\|donor_phone_snapshot\|lookup_token_hash\|idempotency_key" supabase/migrations/*.sql src/app src/libUntuk uji aplikasi:
Kalau API/server sudah mengembalikan email, lalu UI tidak menampilkannya, data tetap bocor ke layer yang tidak perlu. Keamanan bukan “tidak terlihat di layar”. Keamanan adalah “tidak pernah diberikan kepada pihak yang tidak berhak”.
Karena itu, audit function dan query return shape sama pentingnya dengan audit tampilan.
Privasi harus punya bukti.
Bukti minimal:
textRLS aktif
policy spesifik
function return sempit
uji role anon/user A/user B
dokumen access matrix cocok dengan policy nyataKalau tidak bisa diuji, jangan tulis “aman”. Tulis “belum diverifikasi”.
docs/access-matrix.md ada.Module ini menutup bagian amanah data: bukti transfer dijaga, keputusan verifikasi punya pagar, laporan publik jujur, dan privasi donatur diuji sebagai aturan, bukan janji. Setelah ini, pekerjaan bergeser ke rilis: audit pra-launch, SOP, dan kebiasaan kerja pribadi agar project tidak hanya selesai di lokal.
Kuis ini wajib untuk sertifikat. Kamu tetap bisa lanjut ke pelajaran berikutnya dan mengerjakannya nanti.
Ajukan pertanyaan, beri solusi, atau diskusikan materi pelajaran ini.
Belum ada komentar untuk pelajaran ini.
Jadilah yang pertama memulai diskusi atau mengajukan pertanyaan!