切换DB后用户权限丢失问题的排查方向咨询

1. 权限关联表数据差异排查 #

• 不要只校验User表单表数据，检查是否存在关联的权限映射表、角色表、资源权限表，比如是否有User_Role、Role_Permission这类中间表，确认西班牙库中对应admin用户的关联权限数据是否和意大利库完全一致
• 检查是否存在基于用户ID+地区的权限拦截逻辑，确认西班牙库中admin用户的ID是否在对应地区的白名单/允许列表内

2. 业务层地区过滤逻辑校验 #

• 排查代码中是否有按国家/地区参数过滤业务数据的全局逻辑，比如查询时默认拼接WHERE region = 'ES'之类的条件，确认西班牙库中的业务数据是否正确打上了对应地区的标识，或者过滤条件是否和西班牙库的实际字段值匹配
• 检查视图定义是否存在隐式的地区过滤：虽然视图结构一致，但要确认视图的查询条件中是否用到了数据库层面的环境变量、配置参数，两个库的同名变量取值是否不同

3. 数据库连接账号权限校验 #

• 确认程序连接两个数据库用的账号权限是否一致，西班牙库的连接账号是否只有User表的查询权限，没有其他业务表的查询权限，可以直接用程序的连接账号登录西班牙库执行普通的业务表查询语句，看是否能返回数据
• 检查是否存在行级权限控制（比如MySQL的行级安全策略、PostgreSQL的RLS），两个库的行级权限规则是否有差异

4. 隐式数据异常排查 #

• 重新校验User表FL_Abilitato字段的实际值，避免肉眼看起来一致的假象：比如字段值是否有不可见的空白字符、前后空格，或者字段类型是否存在差异（比如意大利库是int，西班牙库是char，代码中判断==1时char类型的'1'在部分语言中判断不通过），可以直接执行SQLSELECT FL_Abilitato, LENGTH(FL_Abilitato) FROM User WHERE 用户名 = '你的admin账号'对比两个库的返回结果
• 检查代码中权限判断的逻辑是否依赖时区、时间类参数，两个库的时区配置是否不一致导致权限判断失效

5. 缓存/配置项差异排查 #

• 检查程序是否有权限相关的本地缓存或者分布式缓存，切换数据库后是否没有清理旧缓存，导致还是用了旧的权限判断结果
• 确认程序对接不同数据库时加载的配置文件是否有差异，是否有配置项控制了admin用户的可见数据范围

内容的提问来源于stack exchange，提问作者Matteo