@plutocms/supabase 0.11.2 → 0.12.0

package/i18n/locales/en.json

@@ -87,6 +87,14 @@
         "verificationSent": "A verification link has been sent to your email. Please check your inbox and follow the instructions to verify your account.",
         "closePage": "You can close this page. You will be logged in automatically once you verify your email.",
         "checkSpam": "If you don't see the email, please check your spam folder."
+      },
+      "invite": {
+        "pageTitle": "Accept Invite",
+        "title": "Welcome!",
+        "description": "Choose a password to finish your account.",
+        "submit": "Save password and continue",
+        "expired": "This invite link has expired or was already used. Ask an admin to send a new invite.",
+        "invalid": "This invite link is not valid. Open the link from your invite email again, or ask an admin for a new invite."
       }
     },
     "settings": {
@@ -102,7 +110,8 @@
     },
     "capabilities": {
       "settingsManage": "Manage site settings",
-      "usersRead": "View all user accounts"
+      "usersRead": "View all user accounts",
+      "group": "Supabase"
     },
     "envWarning": {
       "title": "Connection string not saved automatically",
@@ -188,6 +197,190 @@
       "loadFailed": "Could not load migration status",
       "loadFailedDescription": "This isn't the dev-server-restart case above — something else went wrong reading migration status. Check the server console, then try again.",
       "retry": "Retry"
+    },
+    "access": {
+      "users": {
+        "title": "Users",
+        "description": "The people who can use the admin. Customers are not listed here.",
+        "invite": "Invite user",
+        "you": "You",
+        "administrator": "Administrator",
+        "neverSignedIn": "Never",
+        "actionsLabel": "Actions for {name}",
+        "columns": {
+          "user": "User",
+          "roles": "Roles",
+          "status": "Status",
+          "lastSignIn": "Last sign-in"
+        },
+        "status": {
+          "active": "Active",
+          "invited": "Invited",
+          "invitedOn": "Invited {date}"
+        },
+        "menu": {
+          "editRoles": "Edit roles",
+          "resend": "Resend invite",
+          "copyLink": "Copy invite link",
+          "revoke": "Revoke access"
+        },
+        "empty": {
+          "title": "No users yet",
+          "description": "Invite the first person to help manage this site."
+        },
+        "error": {
+          "title": "The users could not be loaded"
+        }
+      },
+      "invite": {
+        "title": "Invite user",
+        "description": "The person gets an email with a link to choose a password. The roles apply when they sign in.",
+        "email": "Email",
+        "emailPlaceholder": "name@example.com",
+        "name": "Name (optional)",
+        "namePlaceholder": "e.g. Ada Lovelace",
+        "roles": "Roles",
+        "rolesRequired": "Pick at least one role.",
+        "locale": "Email language",
+        "localeHint": "The language of the invite email.",
+        "submit": "Send invite",
+        "mailProblem": "The invite email was not sent",
+        "copyLink": "Copy invite link",
+        "setupEmail": "Set up email",
+        "needsKey": "To copy the invite link instead, set NUXT_SUPABASE_SECRET_KEY on the server.",
+        "linkTitle": "The invite is ready",
+        "linkDescription": "The user was added. Send them this link yourself.",
+        "done": "Done"
+      },
+      "link": {
+        "label": "Invite link",
+        "note": "This link signs the person in once, then it expires. Send it only to them.",
+        "copy": "Copy link",
+        "copied": "Link copied",
+        "title": "Invite link"
+      },
+      "editRoles": {
+        "title": "Edit roles",
+        "description": "Choose the roles of {name}.",
+        "save": "Save roles",
+        "emptyHint": "Pick at least one role. To remove all access, use Revoke access.",
+        "selfAdmin": "You are removing your own admin role. You will lose access to Users and Roles."
+      },
+      "revoke": {
+        "title": "Revoke access",
+        "body": "{name} will lose every role and cannot use the admin. The account stays. Only the admin access is removed.",
+        "confirm": "Revoke access",
+        "self": "This is your own account. You will lose access to the admin."
+      },
+      "roles": {
+        "title": "Roles",
+        "description": "A role is a set of permissions. Give roles to users to control what they can do.",
+        "create": "New role",
+        "builtin": "Built-in",
+        "fullAccess": "Full access",
+        "permissionCount": "{count} permission | {count} permissions",
+        "userCount": "{count} user | {count} users",
+        "columns": {
+          "role": "Role",
+          "permissions": "Permissions",
+          "users": "Users"
+        },
+        "menu": {
+          "edit": "Edit",
+          "view": "View",
+          "delete": "Delete"
+        },
+        "error": {
+          "title": "The roles could not be loaded"
+        }
+      },
+      "role": {
+        "titleCreate": "New role",
+        "titleEdit": "Edit role",
+        "titleView": "Role",
+        "description": "Choose what this role can do.",
+        "label": "Name",
+        "labelPlaceholder": "e.g. Editor",
+        "key": "Key",
+        "keyHint": "Use a-z, 0-9 and an underscore. You cannot change the key later.",
+        "keyInvalid": "The key can use only a-z, 0-9 and an underscore.",
+        "about": "Description",
+        "aboutPlaceholder": "What is this role for?",
+        "capabilities": "Permissions",
+        "capabilitiesRequired": "Pick at least one permission.",
+        "fullAccessNote": "This role has full access. It cannot be changed.",
+        "save": "Save role"
+      },
+      "deleteRole": {
+        "title": "Delete role",
+        "body": "Delete the role {name}? This cannot be undone.",
+        "usersLose": "No user has this role. | 1 user loses this role. | {count} users lose this role.",
+        "confirm": "Delete role"
+      },
+      "toasts": {
+        "invited": "Invite sent to {email}.",
+        "granted": "{email} already has an account. The roles are granted.",
+        "noLinkConfirmed": "This account is confirmed. It signs in with its own password, so it needs no link.",
+        "emailFailed": "{email} was added, but the email did not send. Copy the invite link and send it yourself.",
+        "resent": "Invite sent again to {email}.",
+        "resentNoEmail": "The email did not send. Copy the invite link and send it yourself.",
+        "rolesSaved": "Roles saved.",
+        "revoked": "Access revoked.",
+        "roleCreated": "Role created.",
+        "roleSaved": "Role saved.",
+        "roleDeleted": "Role deleted.",
+        "failed": "That did not work"
+      },
+      "errors": {
+        "forbidden": "Only an admin can do this.",
+        "lastAdmin": "This is the last admin. Make another user an admin first.",
+        "roleExists": "A role with this key already exists.",
+        "builtinRole": "A built-in role cannot be changed or deleted.",
+        "wildcard": "A new role cannot hold the wildcard permission.",
+        "emptyRole": "A role needs at least one permission.",
+        "unknownRole": "One of the roles does not exist.",
+        "invalidKey": "The role key can use only a-z, 0-9 and an underscore.",
+        "invalidLabel": "The role needs a name.",
+        "invalidCapability": "One of the permissions is not valid.",
+        "userNotFound": "This user does not exist.",
+        "roleNotFound": "This role does not exist.",
+        "invalidUserId": "The user id is not valid.",
+        "signupDisabled": "Public sign-up is off. Set NUXT_SUPABASE_SECRET_KEY on the server to send invites.",
+        "emailNotAuthorized": "Supabase's built-in email sends only to members of your Supabase organization. Set up custom SMTP in Supabase to invite other addresses.",
+        "emailInvalid": "Supabase does not accept this email address. Use a real address: Supabase refuses example and test domains.",
+        "inviteFailed": "The invite email could not be sent.",
+        "rateLimited": "Too many invites. Wait a few minutes and try again.",
+        "emailRateLimited": "Supabase sent too many emails. Wait a minute for the same address, or up to an hour with the built-in mailer. Custom SMTP in Supabase raises this limit.",
+        "alreadyAccepted": "This user already accepted the invite.",
+        "migrationPending": "Apply the pending database migrations to manage users and roles.",
+        "serviceKeyRequired": "Set NUXT_SUPABASE_SECRET_KEY on the server to make invite links."
+      }
+    },
+    "mail": {
+      "authEmails": {
+        "title": "Supabase sign-in emails",
+        "description": "Sign-up, password reset and magic link emails.",
+        "intro": "Supabase sends these emails, not Pluto. Without custom SMTP, Supabase sends them only to the members of your Supabase team, and only a few each hour. Invites from the Users page use Pluto mail when the service key is set.",
+        "resendTitle": "Connect Resend to Supabase",
+        "resendBody": "Resend can fill in the SMTP settings of your Supabase project for you. You sign in to both services. Pluto keeps no key.",
+        "resendLink": "Open the Resend integration",
+        "manualTitle": "Or enter the SMTP values by hand",
+        "manualBody": "In Supabase, open Authentication, then Emails, then SMTP Settings. Turn on custom SMTP and enter these values.",
+        "host": "Host",
+        "port": "Port",
+        "username": "Username",
+        "password": "Password",
+        "passwordValue": "Your Resend API key",
+        "copyValue": "Copy {label}",
+        "dashboardTitle": "Supabase dashboard",
+        "dashboardSmtp": "SMTP settings",
+        "dashboardTemplates": "Email templates",
+        "dashboardRateLimits": "Rate limits",
+        "dashboardHome": "Open your project",
+        "dashboardNote": "These links open pages of the Supabase dashboard. Supabase can move them, so they are best effort. If a link fails, open your project and look under Authentication.",
+        "noProject": "Pluto could not read the project ref from your Supabase URL. Open the Supabase dashboard by hand.",
+        "rateLimitHint": "After you set custom SMTP, open Authentication, then Rate Limits, and raise the number of emails each hour. The default is low."
+      }
     }
   }
 }

package/i18n/locales/pt-BR.json

@@ -87,6 +87,14 @@
         "verificationSent": "Enviamos um link de verificação para o seu e-mail. Verifique sua caixa de entrada e siga as instruções para verificar sua conta.",
         "closePage": "Você pode fechar esta página. Você entrará automaticamente assim que verificar seu e-mail.",
         "checkSpam": "Se você não encontrar o e-mail, verifique sua pasta de spam."
+      },
+      "invite": {
+        "pageTitle": "Aceitar convite",
+        "title": "Boas-vindas!",
+        "description": "Escolha uma senha para concluir sua conta.",
+        "submit": "Salvar senha e continuar",
+        "expired": "Este link de convite expirou ou já foi usado. Peça a um administrador para enviar um novo convite.",
+        "invalid": "Este link de convite não é válido. Abra o link do e-mail de convite de novo, ou peça um novo convite a um administrador."
       }
     },
     "settings": {
@@ -102,7 +110,8 @@
     },
     "capabilities": {
       "settingsManage": "Gerenciar as configurações do site",
-      "usersRead": "Ver todas as contas de usuário"
+      "usersRead": "Ver todas as contas de usuário",
+      "group": "Supabase"
     },
     "envWarning": {
       "title": "A string de conexão não foi salva automaticamente",
@@ -188,6 +197,190 @@
       "loadFailed": "Não foi possível carregar o status das migrações",
       "loadFailedDescription": "Este não é o caso de reinício do servidor de desenvolvimento descrito acima. Algo diferente deu errado ao ler o status das migrações. Verifique o console do servidor e tente novamente.",
       "retry": "Tentar novamente"
+    },
+    "access": {
+      "users": {
+        "title": "Usuários",
+        "description": "As pessoas que podem usar o admin. Os clientes não aparecem aqui.",
+        "invite": "Convidar usuário",
+        "you": "Você",
+        "administrator": "Administrador",
+        "neverSignedIn": "Nunca",
+        "actionsLabel": "Ações para {name}",
+        "columns": {
+          "user": "Usuário",
+          "roles": "Papéis",
+          "status": "Status",
+          "lastSignIn": "Último acesso"
+        },
+        "status": {
+          "active": "Ativo",
+          "invited": "Convidado",
+          "invitedOn": "Convidado em {date}"
+        },
+        "menu": {
+          "editRoles": "Editar papéis",
+          "resend": "Reenviar convite",
+          "copyLink": "Copiar link do convite",
+          "revoke": "Revogar acesso"
+        },
+        "empty": {
+          "title": "Nenhum usuário ainda",
+          "description": "Convide a primeira pessoa para ajudar a gerenciar este site."
+        },
+        "error": {
+          "title": "Não foi possível carregar os usuários"
+        }
+      },
+      "invite": {
+        "title": "Convidar usuário",
+        "description": "A pessoa recebe um e-mail com um link para escolher uma senha. Os papéis valem quando ela entrar.",
+        "email": "E-mail",
+        "emailPlaceholder": "nome@exemplo.com",
+        "name": "Nome (opcional)",
+        "namePlaceholder": "ex.: Ada Lovelace",
+        "roles": "Papéis",
+        "rolesRequired": "Escolha pelo menos um papel.",
+        "locale": "Idioma do e-mail",
+        "localeHint": "O idioma do e-mail de convite.",
+        "submit": "Enviar convite",
+        "mailProblem": "O e-mail de convite não foi enviado",
+        "copyLink": "Copiar link do convite",
+        "setupEmail": "Configurar e-mail",
+        "needsKey": "Para copiar o link do convite, defina NUXT_SUPABASE_SECRET_KEY no servidor.",
+        "linkTitle": "O convite está pronto",
+        "linkDescription": "O usuário foi adicionado. Envie este link a ele por conta própria.",
+        "done": "Concluir"
+      },
+      "link": {
+        "label": "Link do convite",
+        "note": "Este link faz o login da pessoa uma vez e depois expira. Envie somente para ela.",
+        "copy": "Copiar link",
+        "copied": "Link copiado",
+        "title": "Link do convite"
+      },
+      "editRoles": {
+        "title": "Editar papéis",
+        "description": "Escolha os papéis de {name}.",
+        "save": "Salvar papéis",
+        "emptyHint": "Escolha pelo menos um papel. Para remover todo o acesso, use Revogar acesso.",
+        "selfAdmin": "Você está removendo seu próprio papel de administrador. Você perderá o acesso a Usuários e Papéis."
+      },
+      "revoke": {
+        "title": "Revogar acesso",
+        "body": "{name} perderá todos os papéis e não poderá usar o admin. A conta continua. Só o acesso ao admin é removido.",
+        "confirm": "Revogar acesso",
+        "self": "Esta é a sua própria conta. Você perderá o acesso ao admin."
+      },
+      "roles": {
+        "title": "Papéis",
+        "description": "Um papel é um conjunto de permissões. Dê papéis aos usuários para controlar o que eles podem fazer.",
+        "create": "Novo papel",
+        "builtin": "Nativo",
+        "fullAccess": "Acesso total",
+        "permissionCount": "{count} permissão | {count} permissões",
+        "userCount": "{count} usuário | {count} usuários",
+        "columns": {
+          "role": "Papel",
+          "permissions": "Permissões",
+          "users": "Usuários"
+        },
+        "menu": {
+          "edit": "Editar",
+          "view": "Ver",
+          "delete": "Excluir"
+        },
+        "error": {
+          "title": "Não foi possível carregar os papéis"
+        }
+      },
+      "role": {
+        "titleCreate": "Novo papel",
+        "titleEdit": "Editar papel",
+        "titleView": "Papel",
+        "description": "Escolha o que este papel pode fazer.",
+        "label": "Nome",
+        "labelPlaceholder": "ex.: Editor",
+        "key": "Chave",
+        "keyHint": "Use a-z, 0-9 e sublinhado. Você não pode mudar a chave depois.",
+        "keyInvalid": "A chave só pode usar a-z, 0-9 e sublinhado.",
+        "about": "Descrição",
+        "aboutPlaceholder": "Para que serve este papel?",
+        "capabilities": "Permissões",
+        "capabilitiesRequired": "Escolha pelo menos uma permissão.",
+        "fullAccessNote": "Este papel tem acesso total. Ele não pode ser alterado.",
+        "save": "Salvar papel"
+      },
+      "deleteRole": {
+        "title": "Excluir papel",
+        "body": "Excluir o papel {name}? Isso não pode ser desfeito.",
+        "usersLose": "Nenhum usuário tem este papel. | 1 usuário perde este papel. | {count} usuários perdem este papel.",
+        "confirm": "Excluir papel"
+      },
+      "toasts": {
+        "invited": "Convite enviado para {email}.",
+        "granted": "{email} já tem uma conta. Os papéis foram concedidos.",
+        "noLinkConfirmed": "Esta conta já está confirmada. Ela entra com a própria senha, então não precisa de link.",
+        "emailFailed": "{email} foi adicionado, mas o e-mail não foi enviado. Copie o link do convite e envie por conta própria.",
+        "resent": "Convite reenviado para {email}.",
+        "resentNoEmail": "O e-mail não foi enviado. Copie o link do convite e envie por conta própria.",
+        "rolesSaved": "Papéis salvos.",
+        "revoked": "Acesso revogado.",
+        "roleCreated": "Papel criado.",
+        "roleSaved": "Papel salvo.",
+        "roleDeleted": "Papel excluído.",
+        "failed": "Isso não funcionou"
+      },
+      "errors": {
+        "forbidden": "Somente um administrador pode fazer isso.",
+        "lastAdmin": "Este é o último administrador. Torne outro usuário administrador primeiro.",
+        "roleExists": "Já existe um papel com esta chave.",
+        "builtinRole": "Um papel nativo não pode ser alterado nem excluído.",
+        "wildcard": "Um novo papel não pode ter a permissão curinga.",
+        "emptyRole": "Um papel precisa de pelo menos uma permissão.",
+        "unknownRole": "Um dos papéis não existe.",
+        "invalidKey": "A chave do papel só pode usar a-z, 0-9 e sublinhado.",
+        "invalidLabel": "O papel precisa de um nome.",
+        "invalidCapability": "Uma das permissões não é válida.",
+        "userNotFound": "Este usuário não existe.",
+        "roleNotFound": "Este papel não existe.",
+        "invalidUserId": "O id do usuário não é válido.",
+        "signupDisabled": "O cadastro público está desligado. Defina NUXT_SUPABASE_SECRET_KEY no servidor para enviar convites.",
+        "emailNotAuthorized": "O e-mail padrão do Supabase só envia para membros da sua organização no Supabase. Configure um SMTP próprio no Supabase para convidar outros endereços.",
+        "emailInvalid": "O Supabase não aceita este endereço de e-mail. Use um endereço real: o Supabase recusa domínios de exemplo e de teste.",
+        "inviteFailed": "Não foi possível enviar o e-mail de convite.",
+        "rateLimited": "Convites demais. Aguarde alguns minutos e tente de novo.",
+        "emailRateLimited": "O Supabase enviou e-mails demais. Aguarde um minuto para o mesmo endereço, ou até uma hora com o e-mail padrão. Um SMTP próprio no Supabase aumenta esse limite.",
+        "alreadyAccepted": "Este usuário já aceitou o convite.",
+        "migrationPending": "Aplique as migrações pendentes do banco de dados para gerenciar usuários e papéis.",
+        "serviceKeyRequired": "Defina NUXT_SUPABASE_SECRET_KEY no servidor para gerar links de convite."
+      }
+    },
+    "mail": {
+      "authEmails": {
+        "title": "E-mails de login do Supabase",
+        "description": "E-mails de cadastro, redefinição de senha e link mágico.",
+        "intro": "O Supabase envia esses e-mails, não o Pluto. Sem SMTP próprio, o Supabase os envia só para os membros da sua equipe no Supabase, e apenas alguns por hora. Os convites da página Usuários usam o e-mail do Pluto quando a chave de serviço está definida.",
+        "resendTitle": "Conectar o Resend ao Supabase",
+        "resendBody": "O Resend pode preencher as configurações de SMTP do seu projeto Supabase para você. Você entra nos dois serviços. O Pluto não guarda chave.",
+        "resendLink": "Abrir a integração do Resend",
+        "manualTitle": "Ou informe os valores de SMTP manualmente",
+        "manualBody": "No Supabase, abra Authentication, depois Emails, depois SMTP Settings. Ative o SMTP próprio e informe estes valores.",
+        "host": "Servidor",
+        "port": "Porta",
+        "username": "Usuário",
+        "password": "Senha",
+        "passwordValue": "Sua chave de API do Resend",
+        "copyValue": "Copiar {label}",
+        "dashboardTitle": "Painel do Supabase",
+        "dashboardSmtp": "Configurações de SMTP",
+        "dashboardTemplates": "Modelos de e-mail",
+        "dashboardRateLimits": "Limites de envio",
+        "dashboardHome": "Abrir seu projeto",
+        "dashboardNote": "Estes links abrem páginas do painel do Supabase. O Supabase pode mudá-las, então são feitos no melhor esforço. Se um link falhar, abra seu projeto e procure em Authentication.",
+        "noProject": "O Pluto não conseguiu ler a referência do projeto na sua URL do Supabase. Abra o painel do Supabase manualmente.",
+        "rateLimitHint": "Depois de configurar o SMTP próprio, abra Authentication, depois Rate Limits, e aumente o número de e-mails por hora. O padrão é baixo."
+      }
     }
   }
 }

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@plutocms/supabase",
   "type": "module",
-  "version": "0.11.2",
+  "version": "0.12.0",
   "trustedDependencies": [
     "@parcel/watcher",
     "@plutocms/pluto",
@@ -39,8 +39,9 @@
     "@nuxt/eslint": "^1.17.0",
     "@nuxt/ui": "^4.12.0",
     "@nuxtjs/supabase": "^2.1.0",
-    "@plutocms/pluto": "^0.17.0",
+    "@plutocms/pluto": "^0.18.0",
     "@plutocms/utils": "^0.2.1",
+    "@supabase/supabase-js": "^2.117.3",
     "postgres": "^3.4.9",
     "supabase": "^2.121.0",
     "zod": "^4.6.7"

package/server/api/access/capabilities.get.ts

@@ -0,0 +1,17 @@
+import { plutoMailReady } from '../../utils/access-mail'
+import { requireAdminRole } from '../../utils/admin-role-guard'
+import { optionalServiceClient } from '../../utils/service-client'
+
+/**
+ * What the invite UI can offer, for an admin: whether the service role key is
+ * set (copy invite link, invites through Pluto mail) and whether Pluto mail can
+ * send. It holds no secret.
+ */
+export default defineEventHandler(async (event) => {
+  await requireAdminRole(event)
+
+  return {
+    serviceKey: optionalServiceClient(event) !== null,
+    mail: { configured: await plutoMailReady() },
+  }
+})

package/server/api/access/roles/[key].delete.ts

@@ -0,0 +1,18 @@
+import { serverSupabaseClient } from '#supabase/server'
+import { mapAccessError } from '../../../utils/access-errors'
+import { requireAdminRole } from '../../../utils/admin-role-guard'
+
+/** Deletes a role. It answers with the number of users who lost the role. */
+export default defineEventHandler(async (event) => {
+  await requireAdminRole(event)
+
+  const key = event.context.params?.key as string
+  const client = await serverSupabaseClient<Database>(event)
+  const { data, error } = await client.rpc('delete_role', { p_key: key })
+
+  if (error) {
+    throw mapAccessError(error)
+  }
+
+  return { key, removedFromUsers: data ?? 0 }
+})

package/server/api/access/roles/[key].put.ts

@@ -0,0 +1,26 @@
+import { serverSupabaseClient } from '#supabase/server'
+import { mapAccessError } from '../../../utils/access-errors'
+import { roleBodySchema } from '../../../utils/access-invite'
+import { requireAdminRole } from '../../../utils/admin-role-guard'
+import { parseBody } from '../../../utils/validate'
+
+/** Edits a role and replaces its capabilities. The `admin` role is refused. */
+export default defineEventHandler(async (event) => {
+  await requireAdminRole(event)
+
+  const key = event.context.params?.key as string
+  const body = await parseBody(event, roleBodySchema)
+  const client = await serverSupabaseClient<Database>(event)
+  const { error } = await client.rpc('update_role', {
+    p_key: key,
+    p_label: body.label,
+    p_description: body.description ?? '',
+    p_capabilities: body.capabilities,
+  })
+
+  if (error) {
+    throw mapAccessError(error)
+  }
+
+  return { key }
+})

package/server/api/access/roles.get.ts

@@ -0,0 +1,17 @@
+import { serverSupabaseClient } from '#supabase/server'
+import { mapAccessError } from '../../utils/access-errors'
+import { requireCapability } from '../../utils/capability-guard'
+
+/** The roles, with their capabilities and the number of users. */
+export default defineEventHandler(async (event) => {
+  await requireCapability(event, 'users:read')
+
+  const client = await serverSupabaseClient<Database>(event)
+  const { data, error } = await client.rpc('list_roles')
+
+  if (error) {
+    throw mapAccessError(error)
+  }
+
+  return { roles: data ?? [] }
+})

package/server/api/access/roles.post.ts

@@ -0,0 +1,25 @@
+import { serverSupabaseClient } from '#supabase/server'
+import { mapAccessError } from '../../utils/access-errors'
+import { createRoleBodySchema } from '../../utils/access-invite'
+import { requireAdminRole } from '../../utils/admin-role-guard'
+import { parseBody } from '../../utils/validate'
+
+/** Creates a role. A new role cannot hold the wildcard. */
+export default defineEventHandler(async (event) => {
+  await requireAdminRole(event)
+
+  const body = await parseBody(event, createRoleBodySchema)
+  const client = await serverSupabaseClient<Database>(event)
+  const { error } = await client.rpc('create_role', {
+    p_key: body.key,
+    p_label: body.label,
+    p_description: body.description ?? '',
+    p_capabilities: body.capabilities,
+  })
+
+  if (error) {
+    throw mapAccessError(error)
+  }
+
+  return { key: body.key }
+})