Ну тут пише "this key is safe to use in browser if you have enabled...". Значить можна і не ховати якщо правильно налаштовано.
Але якщо треба заховати, і якщо є бекенд то роботу з супабейз перенести на бекенд. Інакше треба правильно налаштувати цей публічний ключ, а для якихось захищених операції з супабейз які наприклад залежать від залогіненого користувача потрібно робити авторизації в супабейз.
Подивитись в документацію supabase-js.