NanSOS Docs
Security & Privacy
ความปลอดภัยพึ่งพา Auth + RBAC ฝั่งแอป และ Row Level Security ฝั่งฐานข้อมูล รวมถึงการปกปิดข้อมูลสาธารณะ
การยืนยันตัวตนและสิทธิ์
- เจ้าหน้าที่: login (Supabase Auth / demo staff session ตามสภาพแวดล้อม)
- ประชาชน: แจ้งเหตุโดยไม่ต้อง login
- Middleware กันเส้นทาง /dashboard, /settings, /team ฯลฯ
- NAV_ACCESS จำกัดเมนูตามบทบาท admin / operator / viewer
ฐานข้อมูล (RLS)
- anon: insert เหตุได้ตามนโยบายรายงานฉุกเฉิน
- operator/admin: จัดการเหตุ มอบหมาย ความคิดเห็น
- admin: จัดการผู้ใช้ contacts config hero slides secrets
- มุมมองสาธารณะ mask เบอร์โทร/ข้อมูลส่วนบุคคล
ความเป็นส่วนตัวและการดำเนินงาน
- ไม่แสดงเบอร์เต็มบนแผนที่สาธารณะ
- อัปโหลดสื่อผ่าน API ที่ตรวจชนิดไฟล์และขนาด
- Rate limit บน API สำคัญ (AI, media, admin)
- Audit log การกระทำสำคัญของเจ้าหน้าที่
รายละเอียดนโยบายอยู่ใน supabase/rls-hardening.sql และ supabase/public-privacy.sql