非管理员用户在CouchDB中获取用户列表的可行方案咨询

我来帮你搞定这个问题——确实，CouchDB对_users数据库的视图访问做了硬编码的权限限制，哪怕你把普通用户设为_users的成员，也还是会碰到那个forbidden报错，这是官方为了保护用户敏感数据（比如哈希密码）特意做的安全机制。下面是几个可行的最优方案，按推荐优先级排序：

1. 构建用户信息镜像数据库（最推荐） #

这是最贴合CouchDB设计理念的方案：

• 新建一个普通数据库（比如叫public_users），专门用来存储对外暴露的非敏感用户信息。
• 通过复制器（Replicator）或者更新触发器，从_users数据库同步需要的字段（比如name、email、roles，绝对不要同步password这类敏感内容）。
• 写一个过滤复制的函数来控制同步内容：

  function(doc) {
    if (doc.type === 'user') {
      emit(doc._id, {
        name: doc.name,
        email: doc.email,
        roles: doc.roles
      });
    }
  }
  

• 给非管理员用户授予public_users的读取权限，他们就能正常查询这个库的视图获取用户列表了。

2. 搭建中间层API端点 #

如果需要更灵活的权限控制（比如只让特定角色的用户看特定用户组），可以搞一个简单的中间层：

• 用Node.js、Python这类语言写个小API，让它以管理员身份访问_users数据库，提取非敏感信息后再返回给普通用户。
• 举个Node.js的简单示例：

  const nano = require('nano')('http://admin:your-admin-pass@localhost:5984');
  const usersDb = nano.db.use('_users');
  
  // 假设用Express搭建API
  app.get('/api/public-users', async (req, res) => {
    try {
      const userList = await usersDb.list({include_docs: true});
      // 过滤敏感字段，只返回需要的内容
      const publicData = userList.rows.map(row => ({
        userId: row.doc._id,
        username: row.doc.name,
        userRoles: row.doc.roles
      }));
      res.json(publicData);
    } catch (err) {
      res.status(500).json({error: 'Failed to fetch user list'});
    }
  });
  

• 普通用户只需要访问这个API端点，不需要直接碰_users数据库。

3. 利用用户上下文做有限访问（仅特定场景） #

这个方法只能让用户查看自己或同角色的用户信息，没法获取全量列表：

• 在_users里创建设计文档时，可以通过ctx.user来过滤结果，但要注意：非管理员还是不能直接访问_users的视图，所以这个方法一般是配合中间层来用，比如让API根据当前用户的角色返回对应的数据。

为啥没法直接改_users的视图权限？ #

你提到的options条目应该是设计文档里的security配置，但CouchDB对_users有硬编码的权限锁——不管你怎么设置，只有管理员才能访问它的设计文档和视图，就是为了防止非管理员篡改用户数据或者拿到敏感信息，所以这个路子走不通。

内容的提问来源于stack exchange，提问作者Daniel