80%를 재구축하는 것을 멈추세요: 모든 AI 에이전트 SaaS가 첫 고객을 만나기 전에 갖춰야 할 기반

def decode_supabase_jwt(token: str, settings: Settings) -> dict[str, Any]:
    alg = jwt.get_unverified_header(token).get(

패턴: API는 사용자를 대신하여 슈퍼유저(superuser)로 쿼리하지 않습니다. 트랜잭션을 열고, 사용자의 JWT 클레임(claims)을 설정한 다음, Supabase 자체의 REST 레이어와 정확히 같이 `authenticated` 역할로 전환합니다. 그러면 `WHERE` 절이 없는 쿼리에 대해서도 모든 RLS 정책이 적용됩니다.

그리고 하나의 정책(policy): 

## 두 사용자로 테스트하기

제가 가장 중요하게 생각하는 테스트는 두 개의 워크스페이스에 두 명의 사용자를 생성하고, 사용자 A가 에이전트와 실행(run)을 생성하도록 한 다음, 사용자 B가 모든 API 경로를 통해 403 또는 404 응답을 받는지 확인한 후, 마지막으로 사용자 B로서 Postgres에 A의 행(rows)을 직접 요청하는 것입니다:

만약 이 카운트가 0이 아니게 된다면, 데이터 유출(data leak)이 발생한 것이고, 고객으로부터 발견하는 대신 CI 환경에서 발견하게 됩니다.

## 제가 재구축을 멈춘 이유

모든 재구축 과정에는 예전 곳에 새로운 버그가 있었습니다. 패키징을 완료한 후에도 실제 로컬 Supabase를 대상으로 하는 최종 엔드투엔드(end-to-end) 실행에서 네 가지 문제를 발견했습니다: `make dev` 하에서 모델 클라이언트까지 도달하지 못한 `.env` 키, 설정을 거부하는 Supabase CLI, API 이미지를 망가뜨린 누락된 `.dockerignore`, 그리고 브라우저가 CORS로 보고한 임베딩 오류였습니다. 이들 중 어느 것도 '흥미로운' 코드 안에 있는 것이 아니었습니다.

공개 고지: 저는 이 전체 체크리스트가 구축되고 테스트된 AI Agent Boilerplate Pro의 제작자입니다. 이는 Next.js 16, FastAPI 및 Supabase를 기반으로 합니다 (위 스니펫들은 여기서 가져온 것입니다). 스타터는 $99이고, CrewAI 크루와 화이트 라벨 클라이언트 포털이 포함된 에이전시 버전은 $299이며, code LAUNCH에서는 10월 24일까지 20% 할인을 제공하고 14일 보장 기간을 제공합니다: [https://theapplab.gumroad.com/l/ai-agent-boilerplate?utm_source=devto&utm_medium=article&utm_campaign=stopped-from-scratch](https://theapplab.gumroad.com/l/ai-agent-boilerplate?utm_source=devto&utm_medium=article&utm_campaign=stopped-from-scratch). 만약 더 작게 시작하고 싶다면, 무료 MIT FastAPI + LangChain 스타터는 여기에서 확인할 수 있습니다: [https://github.com/The-AppLab/ultimate-fastapi-langchain-boilerplate](https://github.com/The-AppLab/ultimate-fastapi-langchain-boilerplate)