Erro crítico de segurança no advisor não resolvível pelo cliente: RLS Disabled in Public em public.spatial_ref_sys (PostGIS gerenciado)

[Albertinoblima]

Estou reportando um erro crítico de segurança identificado pelo Database Advisor que não consigo corrigir com as permissões disponíveis no projeto.
Contexto do problema
• Advisor retorna 1 erro crítico persistente: rls_disabled_in_public na tabela public.spatial_ref_sys
• Essa tabela pertence à extensão PostGIS e está no schema public
• Ownership do objeto: supabase_admin
• Usuário operacional (CLI) não consegue assumir role supabase_admin para habilitar RLS diretamente
O que já foi feito do nosso lado
• Corrigimos e validamos os demais erros críticos do advisor (security_definer_view em vw_survey_stats, vw_tenant_stats, vw_system_stats)
• Aplicamos hardening adicional de funções internas (search_path e revoke execute em funções sensíveis)
• Tentamos habilitar RLS em public.spatial_ref_sys
• Tentamos mover extensão PostGIS para schema extensions
• Ambos bloqueados por restrições de ownership/plataforma
Bloqueios encontrados
• ALTER TABLE public.spatial_ref_sys ENABLE ROW LEVEL SECURITY falha por ownership
• SET ROLE supabase_admin falha por permissão negada
• ALTER EXTENSION postgis SET SCHEMA extensions não é suportado para essa extensão
Impacto
• O advisor mantém erro crítico externo, mesmo após correções aplicáveis no projeto
• Isso afeta compliance e pipeline de validação de segurança
Solicitação
Peço apoio para resolver de forma administrada pela plataforma, por uma das opções abaixo:

1. Habilitar RLS em public.spatial_ref_sys e aplicar policy mínima adequada
2. Ajustar a exposição desse objeto de extensão para não gerar erro crítico no advisor
3. Indicar procedimento suportado oficialmente para esse caso em projetos gerenciados
   • fbdee08
   Alguém pode me ajudar?

[xop01]

You cannot enable RLS on public.spatial_ref_sys, and that is not the fix. The table is owned by supabase_admin, so the postgres role is rejected, and SET ROLE supabase_admin is blocked on hosted projects. The table only holds public coordinate-system codes, not your app data. The advisor flags it because PostGIS was installed in the public schema, which the Data API exposes.

ALTER EXTENSION postgis SET SCHEMA fails because PostGIS is not movable that way (since PostGIS 2.3). That matches what you already hit.

Two supported ways to clear the warning:

1. Ask Supabase support to move the extension into the extensions schema. This keeps your data in place. The exact SQL is in the PostGIS guide, under "Moving PostGIS to a different schema". Only support can run it.

2. Do it yourself: back up the database first, drop the extension with CASCADE, create it again in the extensions schema, then restore anything the drop removed. CASCADE drops objects that depend on PostGIS, so do not skip the backup.

After PostGIS is no longer in public, that critical advisor error goes away.

Guide: https://supabase.com/docs/guides/database/extensions/postgis

@Albertinoblima