Protege Tu App

Estoy usando Supabase con PostgreSQL. Tengo las siguientes tablas en mi base de datos:

- users (id, email, name)
- posts (id, user_id, title, content, created_at)
- comments (id, post_id, user_id, content)

(Cambia estas tablas por las tuyas)

Necesito que configures Row-Level Security (RLS) para que:
1. Cada usuario solo pueda VER sus propios posts
2. Cada usuario solo pueda CREAR posts con su propio user_id
3. Cada usuario solo pueda EDITAR sus propios posts
4. Cada usuario solo pueda BORRAR sus propios posts
5. Los comentarios se pueden ver todos, pero solo editar/borrar los propios

Por favor:
- Activa RLS en TODAS las tablas con ALTER TABLE ... ENABLE ROW LEVEL SECURITY
- Crea políticas SEPARADAS para SELECT, INSERT, UPDATE y DELETE (no uses FOR ALL)
- Usa auth.uid() para referenciar al usuario autenticado
- NUNCA uses user_metadata en las políticas (los usuarios pueden modificarlo)
- Agrega índices en las columnas user_id para rendimiento
- Muéstrame cómo probar las políticas desde el SDK de JavaScript de Supabase
- Dame el SQL completo que pueda copiar y pegar en el SQL Editor de Supabase

Estoy construyendo una aplicación web. Mi frontend está en https://miapp.com y mi backend/API está en https://api.miapp.com (cambia estos dominios por los tuyos).

Necesito que configures CORS correctamente para que:
1. SOLO acepte requests que vengan de mi dominio exacto (https://miapp.com) — NUNCA uses Access-Control-Allow-Origin: *
2. Permita los métodos GET, POST, PUT, DELETE
3. Permita los headers estándar más Authorization y Content-Type
4. Soporte cookies y tokens de autenticación (credentials)
5. Maneje correctamente los preflight requests (OPTIONS)

Reglas importantes:
- NO uses wildcards (*) en ningún header de CORS
- NO copies el header Origin del request al response (eso es inseguro)
- SOLO permite HTTPS, nunca HTTP
- Si usas credentials: true, el origin TIENE que ser exacto (no puede ser *)

También necesito que:
- Me expliques qué es un preflight request y por qué importa
- Me muestres cómo verificar que CORS está bien configurado usando el Network tab de DevTools
- Me des un ejemplo de qué pasa cuando alguien intenta acceder desde un dominio no autorizado

Mi stack es: [Next.js / Express / otro — pon el tuyo aquí]

Estoy construyendo una aplicación web con [Next.js / Express / otro — pon tu stack aquí]. Mi dominio es https://miapp.com.

Necesito que agregues TODOS los Security Headers de producción:

1. X-Frame-Options: SAMEORIGIN
   → Para que nadie pueda meter mi página dentro de un iframe en otra página falsa (previene clickjacking)

2. Content-Security-Policy (CSP):
   → default-src 'self' — solo cargar recursos de mi propio dominio
   → script-src 'self' — solo scripts de mi dominio (nada de inline ni eval)
   → img-src 'self' https: — imágenes de mi dominio o cualquier HTTPS
   → style-src 'self' 'unsafe-inline' — estilos de mi dominio (unsafe-inline necesario para algunos frameworks)
   → connect-src 'self' https://api.miapp.com — solo llamadas API a mi backend
   → font-src 'self' — solo fuentes de mi dominio
   → object-src 'none' — bloquear <object> y <embed>

3. X-Content-Type-Options: nosniff
   → Para que el navegador no "adivine" qué tipo de archivo es (previene ataques con archivos disfrazados)

4. Strict-Transport-Security: max-age=31536000; includeSubDomains
   → Forzar HTTPS siempre durante 1 año completo

5. Referrer-Policy: strict-origin-when-cross-origin
   → Controlar qué información se envía cuando el usuario navega a otro sitio

6. Permissions-Policy: geolocation=(), microphone=(), camera=()
   → Desactivar acceso a cámara, micrófono y ubicación (a menos que los necesites)

Por favor:
- Configura todo en el archivo correcto de mi framework
- Si uso Next.js, ponlo en next.config.js en la sección headers
- Muéstrame cómo verificar que los headers están funcionando
- Explícame qué hace cada header en una oración simple
- Si uso servicios externos (Google Analytics, Stripe, etc.) dime qué ajustar en el CSP