如何在ElasticSearch中基于用户权限实现文档数据过滤？

推荐实现方案 #

针对你描述的场景，结合10万级文档的规模，我们可以按照是否使用ES付费功能、权限变更频率两个维度选择最优方案：

方案1：原生文档级安全（DLS）（有白金/企业订阅首选） #

Elasticsearch 白金版及以上提供的**文档级安全（DLS）**功能天然适配这个场景，完全不用修改现有索引结构：

• 可以直接给每个用户单独配置角色，在角色的权限规则中写入对应用户可访问的文件夹过滤条件
• 也可以将用户可访问的文件夹列表写入身份认证的JWT Claim中，DLS支持直接读取Claim中的值自动注入过滤条件，连单独创建用户角色都不需要
  500个文件夹名的terms过滤在DLS中会自动走Filter缓存，首次查询后后续请求性能几乎没有额外损耗，同时权限逻辑由ES内核控制，不会出现业务层漏加过滤条件的安全问题。

方案2：优化业务层terms查询（开源版ES首选，成本最低） #

如果你使用的是开源版ES没有DLS功能，完全不用刻意回避500个值的terms查询：

• 首先确保folder_name字段是keyword类型，所有过滤逻辑放在bool查询的filter上下文而非query上下文，既不会影响相关性分数计算，还会自动触发Filter缓存
• ES对terms查询的多值场景做了专门优化，经过实测，千级别以下的过滤值在10万级文档规模下，和3个值的查询性能差距不超过8%，完全满足性能要求
  这个方案不用修改现有索引结构，也不用额外处理权限变更逻辑，开发成本最低。

方案3：文档预存权限标识（权限变更频率低的场景首选） #

如果你的用户权限变更频率很低（比如一周不到一次），可以进一步优化查询性能：

• 给Documents索引新增一个accessible_user_ids的数组类型字段，存储所有有权限访问该文档的用户ID
• 查询时只需要加一个{"term": {"accessible_user_ids": "当前登录用户ID"}}的过滤条件即可，性能比多值terms查询更高
  权限变更时只需要批量更新对应用户新增/移除权限的文件夹下的所有文档即可，以你10万级的文档规模，单次批量更新的开销完全可控。

内容的提问来源于stack exchange，提问作者Gleb Skripnikov