Supabase 개인 액세스 토큰에 범위가 생겼다 — 기본값이 바뀌었고 CLI 로그인은 아직

Supabase 개인 액세스 토큰은 지금까지 계정 전체 권한이었습니다. 10월 26일 블로그는 범위 지정 토큰의 사용법을 정리한 글입니다. 기능 자체는 9월 28일에 GA됐습니다.

무엇이 바뀌었나

• 기본값: 대시보드에서 만드는 토큰은 범위 지정이 기본입니다. 전체 권한 토큰은 "Create legacy token"으로 여전히 만들 수 있습니다.
• 범위: 여러 조직에 걸쳐 줄 수 있지만 대시보드는 프로젝트 하나를 권합니다.
• 권한 프리셋: No access, Read-only, Full access. Read-only에 API 키 같은 비밀 읽기가 포함되므로, 글은 No access에서 시작해 Database read 같은 권한을 하나씩 켜라고 합니다.
• 검토 화면: 각 권한이 어떤 Management API 엔드포인트와 MCP 도구를 여는지 보여 주고 Low·Medium·High 위험 등급을 붙입니다.
• 만료: 최대 1년. 범위와 권한은 생성 후 수정 불가이며, 바꾸려면 새 토큰을 만듭니다. 토큰 값은 한 번만 보입니다. 접두사는 sbp_fc.
• 역할 상한: 토큰은 만든 사람의 역할을 넘지 못합니다. 프로젝트 접근을 잃으면 토큰도 잃고, 복구되면 돌아옵니다.

어디서 어떻게 거부되나

• Management API: 권한이 없으면 403과 함께 missing_permissions 필드에 빠진 권한이 적힙니다. 범위 밖 프로젝트는 설명 없는 403입니다.
• MCP 서버: 도구마다 권한을 확인하고 도구 오류를 돌려줍니다. SQL 쓰기는 403이 아니라 Postgres 권한 오류로 실패합니다. apply_migration은 별도의 Migrations 읽기·쓰기 권한이 필요합니다.
• CLI: supabase login의 브라우저 흐름은 아직 전체 권한 토큰을 만듭니다. 대시보드에서 만든 토큰을 supabase login --token으로 넣는 게 우회법입니다. CI에서는 SUPABASE_ACCESS_TOKEN이 저장된 토큰보다 우선합니다. SUPABASE_DB_PASSWORD를 쓰는 명령은 토큰 권한을 거치지 않습니다. supabase link는 Project Settings·API Keys·API Key Secrets 읽기가 필요합니다.

기존 토큰

계속 동작합니다. 폐기나 차단 일정은 없고, 대시보드에 "Legacy" 표시만 붙습니다. 바꾸려면 새 토큰을 만들어 통합에 끼워 넣는 방식입니다.

글에 없는 것

요금제 조건, 전체 권한 목록(문서 링크로 대신), CLI 브라우저 흐름이 범위 지정으로 바뀌는 시점, Legacy 토큰의 최종 폐기 여부, 감사 로그와 요청 제한.

실무에서 할 일

대시보드에서 Legacy 표시가 붙은 토큰을 세어 보세요. CI 비밀과 MCP 설정에 들어 있는 것부터 프로젝트 하나·필요 권한만으로 다시 만들어 교체합니다. 만료를 1년 이하로 걸면 교체 주기가 생깁니다. DB 비밀번호로 직접 붙는 명령은 이 통제 밖이라는 점은 따로 기억해 두세요.