如何在CouchDB/Cloudant中实现可扩展的角色级文档隐藏？

针对你的需求，可以通过角色标记+自定义筛选视图+权限验证的组合方案实现可维护、可扩展的文档隐藏，具体步骤如下：

1. 配置数据库基础权限 #

首先在数据库的_security文档中设置管理员和成员角色，确保只有指定角色的用户能访问数据库：

{
  "admins": {
    "roles": ["admin"]
  },
  "members": {
    "roles": ["roleA", "roleB"]
  }
}

管理员自动拥有所有文档的读写权限，无需额外配置。

2. 给文档添加权限标记 #

为每个文档新增allowed_roles字段，明确允许访问的角色：

• docA: {"allowed_roles": ["roleA"]}
• docB: {"allowed_roles": ["roleB"]}
• docC: {"allowed_roles": ["roleA", "roleB"]}
  后续新增文档或调整权限时，只需修改这个字段即可，扩展性很强。

3. 自定义筛选视图替代默认_all_docs #

默认的_all_docs不会过滤文档，所以需要创建一个自定义视图，通过map函数根据用户角色筛选可访问的文档：

设计文档中的map函数示例 #

function(doc) {
  const userRoles = userCtx.roles;
  
  // 管理员直接返回所有文档
  if (userRoles.includes('admin')) {
    emit(doc._id, doc);
    return;
  }
  
  // 检查用户角色是否在文档允许的角色列表中
  const hasAccess = doc.allowed_roles?.some(role => userRoles.includes(role));
  if (hasAccess) {
    emit(doc._id, doc);
  }
}

用户需要通过这个视图（比如路径/your-db/_design/access/_view/filtered-docs）获取文档，而不是直接调用_all_docs。

4. 拦截未授权的直接访问（可选） #

为了避免用户绕过自定义视图直接调用_all_docs或访问单个未授权文档，可以在设计文档中添加validate_doc_read函数做验证：

function(newDoc, oldDoc, userCtx) {
  // 管理员不受限制
  if (userCtx.roles.includes('admin')) return;

  // 拦截对_all_docs的直接请求
  if (typeof oldDoc === 'undefined' && typeof newDoc === 'undefined') {
    throw({forbidden: "请使用自定义筛选视图获取文档"});
  }

  // 单个文档访问时检查权限
  if (oldDoc && !oldDoc.allowed_roles?.some(role => userCtx.roles.includes(role))) {
    throw({forbidden: "您无权访问此文档"});
  }
}

扩展性说明 #

• 新增角色：只需在_security文档中添加新角色，然后在对应文档的allowed_roles中加入该角色即可。
• 批量调整权限：可以通过CouchDB的批量更新API批量修改文档的allowed_roles字段。
• 复杂权限规则：如果需要基于用户ID而非角色的权限控制，可以扩展逻辑，结合userCtx.name做更精细的判断。

注意事项 #

• Cloudant完全兼容这套方案，直接复用代码即可。
• 确保所有文档都包含allowed_roles字段，避免出现权限遗漏的情况。
• 测试时切换不同角色的用户账号，验证视图返回的文档是否符合预期。

内容的提问来源于stack exchange，提问作者Yury Sidorko