This is a Next.js project bootstrapped with create-next-app.
Getting Started
First, run the development server:
npm run dev
# or
yarn dev
# or
pnpm dev
# or
bun dev
Open http://localhost:3000 with your browser to see the result.
Tes keamanan
npm test
Menjalankan tests/security.test.mjs dengan test runner bawaan Node — tanpa dependensi tambahan.
Yang diuji bukan kode aplikasi, melainkan databasenya: kebijakan RLS, tanda tangan RPC, dan kebijakan Storage, semuanya dari posisi penyerang yang memakai kunci anon. Itu disengaja — kunci anon ada di dalam browser setiap pengunjung, jadi siapa pun bisa memanggil Supabase langsung tanpa melewati situs. Pemeriksaan di sisi aplikasi tidak berarti apa-apa terhadap penyerang seperti itu; batas keamanan yang sebenarnya ada di Postgres.
Setiap pemeriksaan di berkas itu pernah dijalankan dengan tangan lewat curl sesudah migrasi 10 sampai 17. Jalankan lagi setelah setiap perubahan migrasi.
Semua tesnya membaca, atau menulis sesuatu yang memang harus ditolak — aman dijalankan terhadap database produksi. Perlu .env.local terisi; tanpa itu tesnya dilewati dengan peringatan, bukan gagal.
Environment variables
Simpan di .env.local (lokal) dan di Vercel → Settings → Environment Variables (produksi).
| Variabel | Wajib? | Untuk apa |
|---|
NEXT_PUBLIC_SUPABASE_URL | ya | Alamat proyek Supabase. |
NEXT_PUBLIC_SUPABASE_ANON_KEY | ya | Kunci publik Supabase — memang ikut ke browser, keamanannya dijaga RLS. |
SUPABASE_SERVICE_ROLE_KEY | ya, untuk notifikasi | Menembus RLS. Pesanan dibuat pengunjung yang belum login (anon), sementara notification_settings sengaja hanya bisa dibaca admin — server memerlukan kunci ini untuk membacanya. Juga dipakai webhook Tripay (Phase 2). Jangan pernah beri awalan NEXT_PUBLIC_. |
TELEGRAM_BOT_TOKEN | opsional | Cadangan kalau tabel notification_settings belum diisi. Pengaturan sehari-hari ada di Admin → Notifikasi, tidak perlu redeploy. |
TELEGRAM_CHAT_ID | opsional | Sama, cadangan untuk yang di atas. |
NEXT_PUBLIC_SITE_URL | opsional | Hanya kalau memakai domain sendiri; di Vercel alamatnya terdeteksi otomatis. Dipakai untuk tautan ke /admin/pesanan di dalam notifikasi. |
Siapa boleh apa
Sejak migrasi 19 ada dua tingkat, dan keduanya dipagari RLS di database —
bukan oleh menu yang disembunyikan.
| Pemilik | Admin |
|---|
| Pesanan, Produk, Katalog & Harga, Moderasi Komunitas | selalu | hanya yang dicentang pemilik di Admin → Pengguna → Atur izin |
| Metode Pembayaran (nomor rekening), Gateway Pembayaran (kunci Tripay), Notifikasi (token bot), Pengaturan Situs, Pengguna | ya | tidak pernah, dan tidak bisa diberikan |
Pemilik tidak bisa diubah lewat situs — tidak oleh admin lain, tidak oleh
dirinya sendiri. Trigger guard_profile_role_change menolak setiap perubahan
role dari atau ke owner selama auth.uid() terisi. Satu-satunya jalan
memindahkannya adalah SQL Editor Supabase, yang butuh akses ke akun Supabase:
-- ganti pemilik (jalankan di SQL Editor, bukan dari aplikasi)
update public.profiles set role = 'admin', permissions = '{}' where role = 'owner';
update public.profiles set role = 'owner', permissions = '{}' where id = '<uuid akun baru>';
Admin yang baru diangkat mulai dengan NOL izin: ia bisa masuk dashboard tapi
belum melihat satu menu pun sampai pemilik mencentangnya.
You can start editing the page by modifying app/page.tsx. The page auto-updates as you edit the file.
This project uses next/font to automatically optimize and load Geist, a new font family for Vercel.
Learn More
To learn more about Next.js, take a look at the following resources:
You can check out the Next.js GitHub repository - your feedback and contributions are welcome!
Deploy on Vercel
The easiest way to deploy your Next.js app is to use the Vercel Platform from the creators of Next.js.
Check out our Next.js deployment documentation for more details.
