永洪BI中如何为不同角色分配数据表级和行级权限？

Question

在永洪BI中，如何为不同角色（如销售经理、区域总监、总部管理员）精准分配数据表级（如仅可见“销售订单”表，不可见“员工薪酬”表）与行级权限（如华东区经理只能查看本区域订单，且对“金额”字段自动脱敏）？实践中常遇到：① 角色继承关系混乱导致权限叠加或冲突；② 行级过滤规则（RLS）依赖的维度字段（如“所属区域”）在多源关联模型中缺失或值不一致；③ 表级权限未同步至数据准备阶段，用户仍可通过“数据探索”绕过视图限制；④ 使用SQL表达式配置RLS时语法错误或性能骤降。此外，当用户身兼多角色时，系统默认采用“并集”策略，易造成权限过度开放，而平台未提供“交集”或优先级配置选项。如何在保障安全合规（如GDPR、等保2.0）前提下，实现细粒度、可审计、低维护成本的动态权限管控？

Answer 1

```html

一、权限体系基础：理解永洪BI的四级权限模型

永洪BI采用“用户→角色→数据源→数据对象”四级权限控制链，其中表级权限（Table-Level Security, TLS）在「数据源管理→权限配置」中设置，行级权限（Row-Level Security, RLS）需在「数据集→安全策略→行级过滤」中定义。关键约束：TLS作用于数据准备阶段（Data Prep），RLS仅生效于可视化与分析阶段（Dashboard/Report），二者不自动联动。

二、表级权限精准落地：三步闭环管控法

1. 数据源粒度隔离：为“销售订单”“员工薪酬”等敏感表分别创建独立数据源（如 ds_sales_order, ds_emp_compensation），避免跨表元数据暴露；
2. 角色-数据源绑定：在「系统管理→角色管理」中，为“销售经理”角色仅授予 ds_sales_order 的“查看+使用”权限，显式撤销其他数据源权限；
3. 数据准备阶段强制拦截：启用「数据准备→高级设置→禁止访问未授权数据源」开关，并通过审计日志监控 data_prep_access_denied 事件。

三、行级权限（RLS）健壮性设计：解决四大实践痛点

痛点	根因分析	永洪BI推荐解法
① 角色继承混乱	多级角色（如“区域总监”继承“销售经理”）导致权限叠加	禁用继承，改用「角色组合」：为华东区总监新建独立角色 role_east_china_director，不继承任何父角色
② 维度字段缺失/不一致	多源模型中“所属区域”在订单表为 region_code，在员工表为 area_name，且值域不统一（如“华东”vs“East China”）	在数据准备阶段构建统一维度表 dim_region，通过「映射规则」标准化所有来源的区域字段，并设为主键关联
③ 数据探索绕过限制	用户通过「数据探索」直接拖拽原始表，跳过RLS视图	在数据源级别启用「强制启用RLS」策略（v12.3+），并配置全局RLS规则：region_code IN (SELECT region_code FROM dim_user_region WHERE user_id = '${user.id}')
④ SQL RLS性能骤降	使用子查询或JOIN导致每次查询生成全表扫描	改用参数化表达式：region_code = '${user.region}'，配合数据库物化视图预聚合

四、字段级动态脱敏：GDPR与等保2.0合规实现

对“金额”字段实施条件脱敏：在数据集字段属性中启用「动态掩码」，配置规则：

CASE 
  WHEN '${user.role}' = 'sales_manager' AND '${user.region}' = 'east_china' 
  THEN ROUND(amount * 0.8, 2) 
  WHEN '${user.role}' = 'headquarters_admin' 
  THEN amount 
  ELSE NULL 
END AS masked_amount

该逻辑嵌入数据集SQL层，确保脱敏发生在查询执行前，满足GDPR第32条“数据最小化”及等保2.0“数据加密与脱敏”要求。

五、多角色权限收敛：从“并集陷阱”到“策略优先级引擎”

graph TD A[用户登录] --> B{解析用户全部角色} B --> C[按预设优先级排序
admin > director > manager] C --> D[取最高优先级角色的RLS规则] D --> E[合并该角色所有表级权限] E --> F[应用至当前会话上下文]

六、可审计与低维护架构：自动化运维方案

• 每日凌晨执行审计脚本，导出权限矩阵CSV，比对「角色-数据源-字段-脱敏规则」四维一致性；
• 使用永洪API /api/v1/roles/{id}/permissions 构建权限变更流水看板；
• 将RLS规则存储为Git仓库中的YAML文件，通过CI/CD自动同步至生产环境，版本回滚耗时<30秒。

七、典型角色权限配置示例（销售域）

角色	可见表	RLS条件	脱敏字段	数据准备可访问
销售经理	销售订单、客户主数据	region_code = '${user.region}'	amount → 四舍五入保留1位	✅
区域总监	销售订单、区域业绩汇总	region_code IN ('east_china','north_china')	none	✅
总部管理员	全部业务表+员工薪酬	1=1（无过滤）	salary → AES-256加密显示	✅

八、避坑指南：5个高危操作禁令

1. ❌ 禁止在RLS中使用 LIKE '%${user.region}%' —— 导致索引失效；
2. ❌ 禁止为同一用户分配 >3个角色 —— 权限计算复杂度指数上升；
3. ❌ 禁止在数据准备中使用「临时表」绕过TLS检查；
4. ❌ 禁止将脱敏逻辑写在前端JavaScript中 —— 违反等保2.0“服务端强制控制”；
5. ❌ 禁止关闭「系统管理→安全设置→启用审计日志」—— 不满足GDPR第32条可追溯性要求。

```