Hasura角色存储位置及动态角色创建相关咨询

Hasura的角色分两类，存储位置完全不同，你一开始想的触发器自动建角色的方案踩坑概率很高，先把存储逻辑说清楚：

• 内置系统角色（比如固定的admin、anonymous这类）：存在Hasura自身的元数据存储中，自托管场景下对应的是PostgreSQL里hdb_catalog schema下的内部表，注意这部分表是Hasura内部维护的，没有公开的稳定表结构，绝对不要直接用触发器或者SQL手动改这部分表的数据，分分钟触发元数据不一致，导致服务权限校验异常甚至启动失败。
• JWT鉴权场景下用的自定义业务角色：本质上不需要提前在Hasura里“创建”实体。Hasura做权限校验的时候，只会读取JWT payload里的x-hasura-role字段值，匹配你提前给对应角色配置的权限规则：匹配到规则就按规则放行，匹配不到就直接返回无权限，根本不存在“角色必须提前注册到Hasura系统里”的要求。

你设计的角色枚举表、用户表关联枚举外键的思路本身是对的，但写PG触发器新增枚举值时自动建Hasura角色的方案完全没必要：你想实现的动态角色能力，Hasura本身就原生支持，根本不需要往系统里提前写角色记录。

给你对应这套身份认证方案的正确落地逻辑：

1. 保留你现有的角色枚举表、用户表关联角色枚举的外键设计，用户注册时正常分配枚举表内的角色值即可。
2. 用户登录签发JWT时，直接把用户关联的角色值写入JWT的x-hasura-default-role字段，同时把该用户可用的所有角色列表写入x-hasura-allowed-roles字段即可，不需要做任何额外的Hasura侧角色注册操作。
3. 当你在枚举表里新增角色值时，只需要在Hasura控制台给这个新角色配置对应业务表的增删改查权限，保存配置后这个角色就自动生效了——权限配置保存的过程，Hasura会自动把角色名记录到自己的元数据里，不需要单独做角色创建操作。
4. 如果要做新增角色的自动化流程，不要碰PG触发器改内部表，直接在业务侧调用Hasura官方的元数据API给新角色配置预设权限即可，这是唯一稳定的官方支持路径。

内容的提问来源于stack exchange，提问作者Rohit Bokade