Next.js + Supabase RLS，用户只能读写自己的数据，这样设计对吗？

刚开始学 Supabase，RLS 这块有点懵，想确认一下我的理解对不对。

我的场景：用户登录后只能看到自己的数据，不能看到别人的。

我写的 RLS policy：

CREATE POLICY "users can only see own data" ON posts FOR SELECT USING (auth.uid() = user_id);

问题：

1. 这个 policy 是在数据库层生效，还是需要在代码里也加过滤？
2. 如果我用 service_role key（admin client）操作数据，RLS 还会生效吗？
3. 有没有推荐的 Supabase + Next.js App Router 的鉴权最佳实践文章？

感谢。