IDE에서 Supabase를 읽기 전용 조회하고 세 단계 보안 제약을 받는다

누구에게 맞나

이 안내는 이 커뮤니티 Query MCP를 아직 쓰고, IDE에서 SQL을 안전하게 실행하거나 Supabase Management API를 호출하고 싶은 사람을 위한 것이다. 공식 주 경로는 pipx로 supabase-mcp-server를 설치하고 stdio로 Cursor, Windsurf, Cline에 붙이는 것이다. 저자는 더 이상 적극 유지하지 않는다고 밝혔고 공식 후속 저장소를 가리킨다. 장기 방안을 고르려면 먼저 후속을 본다. 이 저장소를 유일한 입구로 삼지 않는다.

후속 저장소:

https://github.com/supabase-community/supabase-mcp

먼저 read-only 모드에서 SQL을 돌리는 사람에게 맞다. 근거는 read-only / read-write를 제어할 수 있고 런타임에 risk level assessment를 하며 SQL을 safe, write, destructive 세 단계로 나눈다고 적는다. 처음부터 destructive 문을 돌리기에는 맞지 않는다. 지목되지 않은 도구 함수 이름을 입증된 인터페이스로 삼지도 않는다.

3분 만에 첫 시도 마치기

공식 권장 설치는 아래와 같다. 선행 조건: 이 기기에서 pipx를 실행할 수 있다. 설정 위치는 stdio를 지원하는 MCP 클라이언트. 동시에 uv pip install을 또 하나의 우선 설치로 삼지 않는다.

pipx install supabase-mcp-server

이 저장소 페이지:

https://github.com/alexander-zuev/supabase-mcp-server

첫 시도는 공식 읽기 전용 SQL 능력: 실행 모드를 read-only에 두고 데이터를 바꾸지 않는 조회를 한 줄 돌린다. 성공 신호는 조회 결과가 돌아오는 것이며 보안 정책에 막히는 것이 아니다. 읽기 전용이어도 당신의 Supabase/Postgres에 연결한다. 네트워크도 저장소 접근도 없다고 읽지 않는다. 서버 자체는 asyncpg를 쓰며 더 이상 로컬 PostgreSQL 개발 라이브러리에 의존하지 않는다. local Supabase instance를 돌릴 때만 여전히 PostgreSQL이 필요하다.

사용 사례

사례 1: 읽기 전용으로 수를 본다. 대응은 Control read-only ... SQL query execution. 근거는 도구 함수 이름이나 예시 SQL을 쓰지 않았다. 지어내지 않는다. 성공하면 결과를 볼 수 있고 위험 등급이 붙을 수도 있다.

사례 2: schema를 바꾸거나 Management API / Auth Admin SDK를 호출한다. 대응은 manage schema changes, call the Supabase Management API, use Auth Admin SDK. 이는 쓰기다: 호출 전에 write 모드인지 확인하고, 세 단계 보안에서 safe, write, destructive 중 무엇으로 표시됐는지 본다. 성공 신호는 변경이 보안 컨트롤에 받아들여지는 것이다. 공식 되돌리기 절차가 없는 것을 쉽게 롤백할 수 있다고 쓰지 않는다.

사용 경계

저자는 더 이상 적극 유지하지 않는다. 읽기 전용/읽기-쓰기 모드와 세 단계 보안은 내장 컨트롤이며 위험 없음이 아니다. 근거는 구체적인 도구 명부, 비밀 변수 이름, 제거 절차를 주지 않는다. uv 설치는 문서에 있는 다른 패키지 관리자 명령일 뿐이다. pipx 주 경로와 나란히 두지 않는다.