如何为多用户安全共享场景搭建Parse数据库ACL访问模型

核心实现逻辑 #

你已经完成了Role和用户的关联、Color对象的角色ACL配置，只需要调整云函数的权限校验逻辑即可，不需要修改现有锁定的CLP配置，完全可以满足安全共享的需求。

现有代码问题 #

你现在的ccGetColors接口要么用MasterKey绕开所有权限返回全量数据，要么不使用MasterKey被类级别的CLP拦截返回拒绝，核心是没有在锁CLP的前提下做对象级别的ACL校验。

修正实现代码 #

颜色列表查询接口 #

Parse.Cloud.define("ccGetColors", async (request) => {
    // 先校验登录状态
    if (!request.user) throw new Error('用户未登录');
    const currentUser = request.user;
    const query = new Parse.Query("Color");
    // 用MasterKey绕过CLP拦截拉取全量数据
    const allColorObjs = await query.find({ useMasterKey: true });
    // 手动过滤当前用户（含所属角色）有权限读取的对象
    const accessibleColors = [];
    for (const colorObj of allColorObjs) {
        // Parse内置方法自动校验ACL，包含用户所属角色的权限校验
        if (colorObj.getACL().canRead(currentUser)) {
            accessibleColors.push(colorObj.get('color'));
        }
    }
    if (accessibleColors.length === 0) throw new Error('No results found!');
    return accessibleColors;
});

角色添加接口优化建议 #

你现有的角色查询用contains匹配角色名存在误匹配风险，建议改成完全匹配：

// 原有逻辑
// roleQuery.contains("name", groupName);
// 优化后逻辑
roleQuery.equalTo("name", groupName);

高并发场景优化方案 #

如果Color类数据量较大，全量拉取再过滤性能不足，可以用Pointer关联角色实现前置过滤：

• 给Color类新增belongGroup字段，类型为Pointer，指向对应群组的Role对象
• 查询前先拉取当前用户所属的所有Role列表
• 给Color查询加query.containedIn('belongGroup', userRoles)条件，提前过滤掉不属于用户所在群组的对象，再做ACL校验即可，性能提升非常明显

你提到的pointer和relation完全可以支撑这个场景，上述优化方案就是用pointer实现的。

内容的提问来源于stack exchange，提问作者RobbB