Interroger Supabase en lecture seule dans l’IDE, sous trois niveaux de sécurité

À qui ça s’adresse

Ce guide s’adresse à qui utilise encore ce Query MCP communautaire et veut exécuter du SQL en sécurité dans un IDE ou appeler la Supabase Management API. Le chemin principal officiel : installer supabase-mcp-server avec pipx et le brancher en stdio sur Cursor, Windsurf ou Cline. L’auteur a déclaré qu’il ne le maintient plus activement et pointe vers le dépôt successeur officiel. Pour une option de long terme, regarder d’abord le successeur ; ne pas traiter ce dépôt comme unique entrée.

Dépôt successeur :

https://github.com/supabase-community/supabase-mcp

Il convient à qui exécute d’abord du SQL en mode read-only. Les preuves indiquent que l’on peut contrôler read-only / read-write, faire un risk level assessment à l’exécution, et classer le SQL en safe, write, destructive. Démarrer par des instructions destructive ne convient pas, pas plus que traiter des noms de fonctions d’outils non cités comme interfaces prouvées.

Premier essai en 3 minutes

L’installation officiellement recommandée est ci-dessous. Prérequis : cette machine peut exécuter pipx. L’emplacement de configuration est un client MCP qui gère stdio. Ne pas traiter uv pip install comme un autre install prioritaire en même temps.

pipx install supabase-mcp-server

Page de ce dépôt :

https://github.com/alexander-zuev/supabase-mcp-server

Premier essai : la capacité SQL officielle en lecture seule. Mettre le mode d’exécution sur read-only et lancer une requête qui ne change pas les données. Signal de succès : des résultats reviennent, pas un blocage par la politique de sécurité. La lecture seule connecte quand même votre Supabase/Postgres ; ne pas le lire comme sans réseau et sans accès à la base. Le serveur lui-même utilise asyncpg et ne dépend plus des bibliothèques de développement PostgreSQL locales ; PostgreSQL n’est encore nécessaire que si vous faites tourner une local Supabase instance.

Cas d’usage

Cas 1 : consultation en lecture seule. Cela correspond à Control read-only ... SQL query execution. Les preuves n’écrivent ni nom de fonction d’outil ni SQL d’exemple ; ne pas les inventer. En cas de succès, on voit des résultats, éventuellement avec une note de risque.

Cas 2 : changer le schema ou appeler Management API / Auth Admin SDK. Cela correspond à manage schema changes, call the Supabase Management API, use Auth Admin SDK. C’est une écriture : avant l’appel, confirmer le mode write et voir si la sécurité à trois niveaux le marque safe, write ou destructive. Signal de succès : le changement est accepté par les contrôles de sécurité. S’il n’y a pas d’étapes d’annulation officielles, ne pas le décrire comme facilement réversible.

Limites d’usage

L’auteur ne maintient plus activement. Les modes lecture seule / lecture-écriture et les trois niveaux de sécurité sont des contrôles intégrés, pas un risque nul. Les preuves ne donnent ni registre d’outils concret, ni noms de variables secrètes, ni étapes de désinstallation. L’installation uv n’est qu’une autre commande de gestionnaire de paquets dans la doc ; ne pas la mettre à côté du chemin pipx principal.