Blokowanie nieprzesyłanych e-maili rejestracyjnych za pomocą hooka Supabase Auth i DNS

Implementacja hooka

Funkcja poniżej stosuje te zasady. Odczytuje treść przesyłaną w pakiecie, wyodrębnia domenę po znaku @ i zwraca kod 400 w przypadku nieprawidłowego danych wejściowych. Następnie sprawdza rekordy MX i radzi sobie z każdym przypadkiem: jeśli nie ma żadnych rekordów, sprawdza własne adresy domeny; jeśli istnieje tylko jeden rekord MX o wartości null, odrzuca próbę; w pozostałych przypadkach przechodzi przez kolejne rekordy i akceptuje pierwszy, który ma adres IP. Pusty obiekt JSON sygnalizuje Supabase, że można kontynuować. Funkcja pomocnicza hasIpAddress sprawdza adresy IPv4 i IPv6 równolegle za pomocą Promise.allSettled, dzięki czemu niepowodzenie w jednej próbie nie maskuje sukcesu w drugiej.

import "@supabase/functions-js/edge-runtime.d.ts";
import { withSupabase } from "@supabase/server";
import dns from "node:dns/promises";

export default {
  fetch: withSupabase({ auth: "none" }, async (req) => {
    // Called by another service with a secret key
    // ctx.supabaseAdmin bypasses RLS — use for privileged operations

    try {
      const r = await req.json();
      const email = r.user.email;

      //seems like strict email validation is not required,initial thoughts,
      //  needs to be investigated

      if (typeof email !== "string") {
        return Response.json({
          error: {
            message: "",
          },
        }, {
          status: 400,
        });
      }

      const domain = (email as string).split("@")[1];

      if (!domain) {
        return Response.json({
          error: {
            message: "bad request",
          },
        }, {
          status: 400,
        });
      }

      const mx_records = await dns.resolveMx(domain);

      if (mx_records.length === 0) { //case 1: no mx record present
        // email server may be domain itself
        const mail_server = domain;
        const has_ip_address = await hasIpAddress(mail_server);
        if (has_ip_address) {
          return Response.json({});
        } else {
          return Response.json({
            error: {
              message: "bad request",
            },
          }, {
            status: 400,
          });
        }
      } else {
        if (mx_records.length === 1) { // case 3: domain does not accept mails
          const record = mx_records[0];
          if (record.priority === 0 && record.exchange === ".") {
            return Response.json({
              error: {
                message: "bad request",
              },
            }, {
              status: 400,
            });
          }
        }

        for (const record of mx_records) { // inspection for case 2
          if (record.exchange) {
            const has_ip_address = await hasIpAddress(record.exchange);
            if (has_ip_address) {
              return Response.json({});
            }
          }
        }

        return Response.json({
          error: {
            message: "bad request",
          },
        }, {
          status: 400,
        });
      }
    } catch (_e) {
      return Response.json({
        error: {
          message: "internal server error",
        },
      }, {
        status: 500,
      });
    }
  }),
};

const hasIpAddress = async (mail_server: string): Promise<boolean> => {
  const [ipv4, ipv6] = await Promise.allSettled([
    dns.resolve4(mail_server),
    dns.resolve6(mail_server),
  ]);

  return (ipv4.status === "fulfilled" && ipv4.value.length > 0) ||
    (ipv6.status === "fulfilled" && ipv6.value.length > 0);
};

Potencjalne problemy w tym kodzie wymagające poprawy

Logika jest zgodna z wytycznymi RFC, ale kilka szczegółów zachowuje się inaczej niż zakłada kod:

• resolveMx() rzuca błąd zamiast zwracać pustą listę. W przypadku domeny bez rekordów MX lub nieistniejącej domeny Node odrzuca próbę z błędami takimi jak ENODATA lub ENOTFOUND. Oznacza to, że gałąź obsługująca domyślne MX rzadko jest wykorzystywana; zamiast tego blok catch zwraca błąd 500, a legalne domeny polegające na domyślnym MX są odrzucane jako błędy serwera. Przechwytaj błąd ENODATA wokół funkcji resolveMx() i ucieknij się do metody hasIpAddress(domain).
• Sprawdzenie wartości null dla MX może nie być dokładne. Node zgłasza wartość null dla MX poprzez pustą ścieżkę exchange zamiast „.”. Warunek if (record.exchange) w pętli nadal odrzuca takie domeny, ale należy porównać obie wartości, aby jasno określić intencję.

Zezwalanie na nieautoryzowane wywołania funkcji

Na koniec zarejestruj funkcję w pliku config.toml i wyłącz weryfikację JWT dla niej. Nazwa w nawiasach musi odpowiadać nazwie folderu zawierającego funkcję w katalogu supabase/functions:

[functions.before-user-created]
verify_jwt = false

Weryfikacja JWT jest wyłączona, ponieważ podczas rejestracji nikt jeszcze nie jest zalogowany; to własna kontrola podpisu hooka, a nie token użytkownika, powinna chronić ten endpoint.

Główne wnioski

• Hook Auth typu before-user-created umożliwia walidację adresów po stronie serwera, nawet gdy rejestracja jest inicjowana z biblioteki klienckiej.
• Domena może otrzymywać e-maile, jeśli jeden z jej hostów MX zostanie rozwiązany, lub – w przypadku braku rekordów MX – jeśli sama domena zostanie rozwiązana; wartość null dla MX oznacza, że domena nie akceptuje żadnych hostów.
• W Node funkcja resolveMx() rzuca błąd w przypadku braku rekordów, więc należy wyraźnie obsłużyć błąd ENODATA, zamiast oczekiwać pustego arraya.