将 Postgres 角色系统用于 Web 应用程序身份验证和角色管理是否合法？

Question

我的情况

我想使用React和Postgres创建我的第一个端到端 Web 应用程序。 我在之前的内联网工作中确实使用过 Postgres，并使用 Postgres 角色系统进行用户身份验证。

角色

我计划的 Web 应用程序将是一个团队计划系统。 它将包含以下用户角色：

• 网络管理员（我，超级用户）
• 团队管理员（可以在他/她的团队中插入/删除用户，为团队设置全局应用的功能设置等）
• 团队用户（可以调整存储在
  数据库，例如颜色、自己的配置文件）
• 访客（只能查看团队及其成员）

我的方法

我目前对用户进行身份验证和角色管理的计划是将上述角色作为 Postgres 组角色，并且在每个组角色中，定位相应用户的登录角色。 因此，用户身份验证将完全由 Postgres 的内置角色系统管理。

然后通过应用不同的数据访问

• 基于表和基于列的权限GRANT加上每个组角色的视图的实现和
• 用于将数据子集到用户的相应团队的行安全策略。

这是一个好方法吗？

Answer 1

虽然可行，但它可能不是最简单的方法。

当您开始使用连接池时会出现问题。 每次向数据库发出请求时，都必须先切换用户。

此外，有一天会使用错误的用户（忘记切换或其他），但几乎不可能调试甚至找出：您会记录Bob更新的表 X，而不是R_Readonly_worker更新它。