Supabase 如何成为默认后端

让一款 AI 应用构建工具做一个带账户和数据库的应用，数据往往最终会落在 Supabase 上。6 月，该公司表示，其平台上超过百分之六十的新数据库是“由某种 AI 工具”创建的。

我们应该先说明自己的立场。我们的应用平台 Werk 会在项目适合时使用 Supabase，所以我们是在日常工作中了解它的。下面谈谈它是如何走到今天的，哪些好，哪些不好，以及我们的结论。

它是什么

Supabase 由 Paul Copplestone 和 Ant Wilson 于 2020 年创立，起步于 Y Combinator。它的卖点是做 Google Firebase 的开源替代品，不是建立在专有存储之上，而是建立在 Postgres 之上，也就是许多开发者早已熟悉和信任的数据库。围绕它的，是一个应用接下来需要的东西：登录、根据数据表生成的 API、文件存储，以及一套向量搜索工具。

如今，它用一句话描述自己：“Supabase 是 Postgres 开发平台。”代码以 Apache 2.0 许可证公开。它面向想要一个真正的数据库、又不想自己运维的人：做第一个版本的创始人、产品团队、代理机构，以及如今为他们所有人编写应用的工具。

AI 构建工具如何让它成为默认选择

应用构建工具需要的正是这个：用一项服务解决生成的应用所需的数据库、登录和存储。2025 年 9 月 Lovable 推出 Lovable Cloud 时，Supabase 写道：“在 Lovable Cloud 中创建的每个项目，背后都由 Supabase 驱动。”它表示，其平台上每天新建的数据库超过 40'000 个。几天后，TechCrunch 在报道其下一轮融资时，将 Lovable 和 Bolt 列为后端使用 Supabase 的氛围编程工具。

随后，编程智能体来了。2026 年 6 月，Supabase 报告称，数据库创建量一年内增长了百分之六百，近 1000 万开发者在其上构建，是八个月前的两倍多。它写道，自 1 月以来增长有所加快，因为“Claude Code 和 Codex 扩大了能够构建的人群”。

资金

Supabase 于 2024 年完成 8000 万美元的 C 轮融资，2025 年以 20 亿美元估值融资 2 亿美元，2025 年 10 月又以 50 亿美元估值融资 1 亿美元，社区成员也可以在这一轮中购买股份。2026 年 6 月，它以投前 100 亿美元估值融资 5 亿美元，由 GIC 领投，Stripe 第二次投资，Salesforce Ventures 也加入其中。其中一部分资金用于为员工提供流动性，员工可以在每轮融资中出售部分已归属的股份。

真正好的地方

Supabase 最好的一点，就是它是 Postgres。数据结构就是普通的 SQL，数据存放在有真正关联和事务的表中，团队已有的技能和工具依然适用。根据我们的经验，这也让它成为智能体的好土壤：以 SQL 迁移形式写成的数据结构明确、可读、可审查，比松散的文档存储更适合 AI 编写的代码。

它上手很快。免费套餐包含一个 500 MB 的数据库和 50'000 名月活跃用户，足以和真实用户一起检验一个想法。而且它是开放的。平台开源，可以自行托管；由于数据库是标准的 Postgres，团队可以用普通工具把数据迁到别处。

需要留意的地方

安全排在第一位。浏览器中的密钥本来就是公开的。保护数据的是行级安全（RLS），即数据库中决定谁可以读写每一行的规则。Supabase 的文档对默认设置说得很准确：“通过 Supabase Dashboard 创建的表默认启用 RLS。”而在 SQL 编辑器中或“通过其他工具”创建的表，则需要明确开启，智能体和迁移通常正是这样建表的。

这个缺口已经显现。2025 年 5 月，研究员 Matt Palmer 报告称，在 Lovable 展示的 1'645 个应用中，有 170 个缺少行级安全或配置错误，导致电子邮件、电话号码和支付信息等数据外泄。Lovable 对由此产生的漏洞记录提出异议，称每位客户都有责任保护自己的数据。

2026 年 9 月，安全公司 UpGuard 发现，超过 16'000 个 Supabase 数据库中存在任何人都能读取的表，其中一半以上保存着个人数据。BleepingComputer 报道称，原因是“行级安全策略缺失或无效，以及公钥被误用”，不过扫描并未证实每个网站都是用 AI 智能体构建的。Supabase 安全主管 Bil Harmer 对 TechCrunch 表示，项目“默认是安全的”，客户自己掌控项目的配置方式。

成本排在第二位。Pro 套餐每月 25 美元起，包含 10 美元的算力额度，足够最小规格的实例使用。此后每增加一个项目，都要全额支付算力费用，从最小规格的每月 10 美元，到列表中最大规格的 3'730 美元；超过 250 GB 的数据传输，每 GB 收费 0.09 美元。Pro 套餐默认开启支出上限，Team 套餐 599 美元起。在我们看来，价格公道，公布得也很清楚，但账单跟着算力和流量走，许多小项目加起来也不少。

在我们看来，它的锁定程度低于大多数同类平台。数据库很容易迁出。登录、存储和客户端库，才是应用与 Supabase 长在一起的地方，迁移时真正费工夫的也是这些。

我们的结论

对于需要账户和数据的新 Web 和移动应用，Supabase 配得上默认后端的位置，而理由并不光鲜：它是 Postgres，配有好用的工具、公道且公开的价格，以及一条退路。它的弱点是所有快速工具共有的：它让做出一个能用的应用变得容易，而做出一个安全的应用则是另外一步，智能体并不总会迈出这一步。

所以，用它，并把安全当作构建的一部分：每一张可从外部访问的表都启用行级安全，策略要经过测试而不是想当然，密钥只放在服务器上，在摸清流量之前开启支出上限。我们在 Werk 中就是这样使用它的，Supabase 是我们按项目选择的组件之一，与 Next.js、React 和 Expo 并列。AI 编写大部分代码，人审核每一次发布，角色、登录、加密和自动化测试从第一个版本起就已具备。