Minha aplicação está expondo a chave service_role do Supabase no front-end — uma falha CRÍTICA de segurança. Por favor: 1. Remova todo uso da service_role (SUPABASE_SERVICE_ROLE_KEY) do código do cliente/front-end. 2. No front, ao criar o cliente Supabase, use SOMENTE a chave anon (SUPABASE_ANON_KEY). 3. Se alguma ação precisa de privilégio de admin, mova-a para uma Edge Function / rota de servidor, com a service_role guardada como variável de ambiente secreta (nunca enviada ao navegador). Ao terminar, liste onde a service_role aparecia e o que você alterou.

A tabela "users" do meu Supabase está com Row Level Security (RLS) DESATIVADO, deixando os dados de todos os usuários acessíveis publicamente. Por favor: 1. Ative o RLS na tabela users. 2. Crie políticas para que cada usuário acesse apenas os próprios registros (auth.uid() = id) em select, update e delete. 3. Revise as demais tabelas com dados de usuário e ative RLS + políticas equivalentes onde faltar. Gere o SQL de migração e explique em uma frase o que cada política faz.

Minha API/Supabase aceita requisições de qualquer origem (CORS liberado com "*"), o que permite roubo de sessão. Por favor: 1. Restrinja o CORS para aceitar SOMENTE o meu domínio de produção (https://app.exemplo.com.br) e o localhost de desenvolvimento. 2. Atualize a configuração de Allowed Origins / o header Access-Control-Allow-Origin — nunca use "*". 3. No Supabase, ajuste as URLs permitidas em Auth - URL Configuration. Diga o que foi alterado.