Neo4j RBAC内部实现：同一角色节点属性权限冲突处理算法咨询

Neo4j在处理这类冲突权限时，核心遵循**拒绝优先（DENY权限优先级高于GRANT）**的评估规则，具体推导步骤如下：

• 先收集针对目标节点类型的所有相关权限规则：包括针对该节点所有属性的写入授权规则，以及针对部分属性的写入拒绝规则。
• 权限评估时，明确标记为DENY的属性写入权限会直接覆盖所有对应的GRANT规则——也就是说，哪怕有全局的节点属性写入授权，被DENY的属性依然无法写入。
• 未被DENY规则覆盖的其他属性，会继承全局的写入授权，最终拥有写入权限。

举个实际场景的例子：

为角色content_editor执行两条权限命令：
GRANT WRITE ON NODE :Article（授予:Article节点所有属性的写入权限）
DENY WRITE ON NODE :Article PROPERTIES (publish_status, original_author)（拒绝该节点publish_status和original_author属性的写入权限）

最终content_editor角色对:Article节点的权限结果是：除publish_status和original_author外，其余所有属性都具备写入权限。

需要注意的是，Neo4j的权限评估是规则累加的模式，但DENY规则的优先级是绝对最高的，任何被拒绝的操作不会被后续的授权规则抵消。

内容的提问来源于stack exchange，提问作者Kt Student