fix(page-data): grant agent role set permission

2026-07-17 09:32:31 +08:00
parent 331a863288
commit a5d109d585
6 changed files with 81 additions and 2 deletions
@@ -26,3 +26,13 @@ npm run verify:mindspace-page-sync-guards
 ```

 涉及 H5 交付时，还必须验证：未注册 dataset 时不产生可用 Page Data policy，且最终链接交付被拒绝或进入明确 repair 状态。
+
+## PostgreSQL 用户空间角色守卫
+
+生产用户空间 PostgreSQL（独立于 Goose session PostgreSQL）通过 `SET LOCAL ROLE ms_u_*_agent` 隔离每个用户。必须保留以下约束：
+
+1. provisioning 必须显式授予运行连接用户 agent role 的 `SET` 权限。
+2. agent role 保持 `INHERIT FALSE`；只允许显式 `SET ROLE` 后访问用户 schema，不能让连接用户默认继承全部用户权限。
+3. 已存在的用户空间在首次访问时必须幂等检查并修复缺失的 `SET` 权限，不能只修复新注册用户。
+4. 验收必须使用与生产等价的非超级用户连接完成 `SET LOCAL ROLE`、建表、dataset 注册和读写；超级用户会绕过角色切换限制，不能作为该问题的验收依据。
+5. 修复角色授权时禁止修改用户 schema、表和数据；生产操作前保留用户空间 PG dump、角色授权快照和回滚 SQL。