答案揭晓，此APP是：対多 - 偽中国語掲示板

漏洞现已修复。

主要有 posts 和 comments 两个表。（还有个 users 表，不过权限限得很死）

用户只能删除由自己创建的 post (if post.created_by == <user>.id)，没毛病。（comment 同理）

但是它没有限制用户 update 别人的 post 或 comment，所以可以把别的 post/comment 的 created_by 改成自己。然后就能删任意帖子了。

——

用 PostgREST 这类中间件，让客户端直通数据库时要注意权限设计啊！毕竟没有传统意义上的“后端”来隔离客户端与数据库了。