Next.js × Supabase セキュリティの押さえどころの振り返り

学んだこと

公開前に確認すべきセキュリティチェックリストがあることを知りました。.env.localのキー管理・RLSの設定・Server Actionsの認証チェックなど、「動く」と「安全に公開できる」は別物だと実感しました。チェックリストは checklist.md としてプロジェクトに置いておくと、Claude Codeに確認してもらいやすくなりそうです。

気づき・感想

Supabase MCPがプロジェクトごとに固定されていて、別ディレクトリから操作できないことに気づくまで半日かかりました…！--scope user でグローバルにすればどこからでも操作できるとわかったので、最初からそうしておけばよかったです。あと今日の作業でトークンをチャットに貼ってしまうミスを2回やりました。トークンは直接ターミナルに入力するのが鉄則です。

次にやること

Next.jsのコードを少しくらいは読めるようにしておきたいです。全部Claude Codeに任せるにしても、何が書かれているかわかる状態の方が判断しやすいので。