PostgreSQL：访客编辑预约表时外键校验失败问题解决

问题核心在于：users表的行安全策略仅允许用户查看自身数据，导致访客在编辑appointments记录时，系统因无法访问该预约创建者的用户数据（外键关联校验需要）而失败。以下是具体解决方案：

1. 调整users表的行安全策略，开放必要查询权限 #

保留原有允许用户查看自身数据的策略，新增一条策略，允许访客查看其作为guest_id参与的预约对应的创建者数据：

-- 保留原有用户查看自身数据的策略（已存在则跳过）
CREATE POLICY "用户可查看自身数据" ON users
  FOR SELECT USING (id = current_setting('app.current_user_id')::uuid);

-- 新增策略：允许访客查看自己参与的预约的创建者数据
CREATE POLICY "访客可查看预约创建者数据" ON users
  FOR SELECT USING (
    EXISTS (
      SELECT 1 FROM appointments
      WHERE appointments.user_id = users.id
        AND appointments.guest_id = current_setting('app.current_user_id')::uuid
    )
  );

注意：current_setting('app.current_user_id')是获取当前登录用户ID的示例方式，请根据你的实际身份验证机制替换（比如使用auth.uid()、current_user::text::uuid等）。

2. 配置appointments表的行安全策略，允许访客编辑对应记录 #

给appointments表添加UPDATE策略，同时覆盖创建者和访客的编辑权限：

-- 允许预约创建者编辑自己的记录
CREATE POLICY "创建者可编辑自身预约" ON appointments
  FOR UPDATE USING (user_id = current_setting('app.current_user_id')::uuid);

-- 允许访客编辑自己作为guest的预约记录
CREATE POLICY "访客可编辑参与的预约" ON appointments
  FOR UPDATE USING (guest_id = current_setting('app.current_user_id')::uuid);

如果需要限制访客仅能编辑部分字段（比如不能修改user_id），可以添加WITH CHECK子句细化控制：

CREATE POLICY "访客可编辑参与的预约" ON appointments
  FOR UPDATE USING (guest_id = current_setting('app.current_user_id')::uuid)
  WITH CHECK (guest_id = current_setting('app.current_user_id')::uuid);

3. 验证策略生效 #

执行上述策略后，访客用户尝试编辑其作为guest_id的预约记录时，系统将能够正常访问该预约创建者的用户数据（通过新增的users表策略），同时appointments表的策略也允许其执行编辑操作，外键校验即可通过。

内容的提问来源于stack exchange，提问作者Fez Vrasta