O Supabase exige o e-mail para criar a chave de login
Depende, se você desativar a pré confirmação não exige desde que você faça algo parecido com o hack que eu passei, só sufixar @a.b no nome do usuário e registrar como e-mail
Mas seu relato me deixou preocupado, se o usuário consegue registrar no banco sem um identificador, isso não significa que seu app tá sem RLS?
Sim, obrigado. Eu fiz de uma forma que desse para o e-mail ser fictício. Seu hack de @a.b é muito bom para um MVP em teste; vou deixar essa ideia anotada no backlog para a próxima versão ou ideias futuras.
Sobre o RLS, pode ficar tranquilo. Fiquei bem paranoico com essa parte, devido ao tanto que essa brecha é comentada, então foquei bastante nela. A facilidade do registro que comentei foi mais por conta da configuração permissiva do Auth do que exposição do banco em si