如何配置用户角色：允许创建对象，仅可读非自建对象且拥有所有权

要实现「可创建各类对象、非自身创建对象仅可读、自身创建对象归本人所有」的角色权限，核心是分权限类型配置范围+绑定对象所有权，具体步骤如下：

1. 创建基础角色并分配全局创建权限 #

• 新建一个角色（比如命名为「内容创建者」），给该角色分配所有对象类型的create权限（比如数据库层面的INSERT权限、应用系统的「创建」操作权限）。

2. 配置差异化读取/操作权限 #

• 给角色分配所有对象类型的read权限（SELECT权限），无额外限制——满足对所有对象的读取需求。
• 针对update、delete这类修改类权限，仅允许用户操作「创建者字段等于当前用户ID」的对象：
  • 如果是数据库层面，可通过行级安全策略实现，比如PostgreSQL的行级安全：

    CREATE POLICY creator_modify_policy ON your_table
    FOR UPDATE, DELETE TO "内容创建者"
    USING (created_by = current_user);
    

  • 如果是应用权限系统，可在权限规则中添加条件判断：仅当对象的created_by属性与当前用户ID一致时，才允许执行修改/删除操作。

3. 强制绑定对象所有权 #

• 确保用户创建的对象自动关联自身身份：
  • 数据库层面：给对象表添加created_by字段（存储用户ID），并设置默认值为当前登录用户，或通过触发器在INSERT时自动填充：

    CREATE TRIGGER set_creator_trigger
    BEFORE INSERT ON your_table
    FOR EACH ROW
    EXECUTE FUNCTION set_created_by_current_user();
    

  • 应用层面：在对象创建接口中，强制将当前登录用户的ID写入对象的「创建者」属性，禁止前端传入该字段，避免篡改。

额外注意事项 #

• 若系统支持权限继承，需确保该角色不继承更高权限（比如全局修改/删除权限）。
• 定期审计权限配置，验证非创建者用户无法修改他人创建的对象。

内容的提问来源于stack exchange，提问作者LineBreak