在使用雲開發進行開發時，資料庫許可權是一個讓不少人困擾的部分，四種資料庫許可權，到底是什麼意思？其各自的許可權、應用場景都是什麼？大多數人對於這個機制，還是模糊的。為了幫助大家進行更好的開發，在涉及到具體的程式碼之前，我們先來了解一下雲開發的資料庫許可權機制。

一、為什麼會有許可權系統？

雲開發和其他常見的開發模式有一處很大的不同就是，其資料庫是可以在小程式端直接進行查詢，而無需通過服務端提供的特定 API 介面來完成資料查詢。這樣就會出現一個問題，這個資料到底誰能查？誰不能查？能查到資料的人，能修改資料麼？

在傳統的應用開發模式中，許可權的控制由服務端的後端介面完成，但是，在雲開發的模式中，已經不存在傳統的後端，因此，我們需要將許可權控制進行向前移，但前端的程式碼因為無法保證安全（前端的資料可能被篡改，不可信），因此，我們需要將許可權控制放在一個更加安全的地方，在經過多方權衡後，最終，雲開發資料庫就變成了雲開發控制檯中的一個選項。

二、雲開發許可權系統中的環境與角色

在雲開發的許可權中，我們會看到一些詞，比如建立者、所有人、管理端，這些詞應該如何理解呢？

其實這裡在命名上是有一些問題的，管理端和建立者、所有人並不是一個好的對比，如果將管理端更名為管理員，會更容易理解。

從許可權的層面上來看，從管理端到建立者再到所有人，許可權是依次收緊的。

管理端，或者叫管理員，其實便是指雲開發中的雲函式環境的執行許可權。因為是在雲函式中執行，安全係數較高，因而獲得了最高的許可權，也就是所謂的管理端許可權。這個許可權包括了對於所有的資料進行增、刪、改、查的能力。

建立者，則指的是建立某條資料的使用者，一般來說，是指在小程式端建立資料的使用者。資料和使用者之間的繫結是基於資料中的 _openid

來實現的，程式在執行中，當前使用者的 openid 與資料的_openid一致時，就認為這個使用者是資料的建立者。

所有人，指的是除了管理員以外的使用者，這個使用者一般而言，也是指小程式端的使用者。資料和使用者之間並不具備直接的關聯關係。使用者僅能通過資料庫許可權配置後的開放讀取到使用者。

三、關於四個不同的許可權

雲開發的資料庫許可權共四種，分別是：
1. 僅建立者可寫，所有人可讀
2. 僅建立者可讀寫
3. 僅管理端可寫，其他人可讀
4. 僅管理端可讀寫

這四種許可權各自對應著不同的場景，接下來，我們借一些例子，來看一看四種許可權的不同應用場景。

僅建立者可寫，所有人可讀

這種許可權是我們使用最多的許可權，特別是一些涉及到UGC的場景，我們一定會需要這個許可權，因為我們的需求是產生的內容所有人均可讀，寫的層面則允許資料的建立者可寫。

舉個例子，如果你做了一個類似朋友圈的應用，那麼你一定希望你的使用者發的朋友圈可以被其他使用者看到，但不能被其他使用者修改，不然就亂套了。

僅建立者可讀寫

這種許可權一般應用在一些使用者的個人隱私資訊的場景中。這些資訊希望使用者自己可以讀取，但其他使用者無法讀取，此時，我們便需要僅建立者可讀寫。

舉個例子，如果你做了個人相簿的功能，那麼你一定希望這個相簿是隻有你自己能看，而不是被所有人可以看到，因此，你需要選擇僅建立者可讀寫，而不是僅建立者可寫，所有人可讀。

僅管理端可寫，其他人可讀

如果描述這個許可權的特性，那麼就是管理員可以修改，其他人只能看。最適合的場景莫過於各種需要由開發者、平臺方管控的東西，比如新聞應用的輪播圖列表、商城首頁的活動資訊等等。這些資料的關鍵在於所有人都可以看到，同時，所有人也只能看到，不能修改，只能有管理員修改。

舉個例子，如果你做了一個電商小程式，那麼在你的小程式中，你一定希望首頁的推廣 Banner 由你自己控制，而不是由使用者自行控制，基於這樣的考慮，你就需要僅管理端可寫，其他人可讀的許可權。

僅管理端可讀寫

僅管理端可讀寫，你可以理解為只有雲函式中有資格獲取這個資料，其他的環境均不允許。這個許可權在某些特定的場景下非常有用，舉個例子，你的小程式的一些執行日誌，你希望在雲端可以檢視，同時，這個日誌不對普通使用者展現，這個時候就可以設定為僅管理端可讀寫。

舉個例子，如果你做了一個電商小程式，那麼內部的統計資料就需要設定為僅管理端可讀寫，這樣可以確保你的運營資料不會被普通使用者所讀取，儘可能避免資訊的洩露。

四、常見問題

為什麼沒有所有人可讀寫的許可權？

所有人可讀寫的資料庫應用場景並不多見，而且大多數時候、可以通過管理端完成繞過。不過，如果你真的有了這樣的場景，不妨思考一下，你的需求到底是什麼？是不是因為你的資料庫結構的不合理導致的需要所有人可讀寫？

所有人可讀寫資料會造成非常多的問題，比如資料原子化、資料鎖等問題，因此，在你實現資料所有人可讀寫時，一定要考慮場景。

能不能實現更加細粒度的許可權控制呢？

當然是可以的，實際上，雲開發的資料庫中每一條由小程式段完成新增的資料都有一個欄位 _openid，我們在進行資料庫查詢時，系統會自動替我們完成這個欄位的對比，如果對比不上，再去查詢對應集合的許可權控制，看是否給予了非建立者可讀寫的許可權。

你自己在實現時，可以在資料建立時，根據業務需求，在資料中加入對應的欄位，然後資料查詢時，基於欄位中的條件進行對比。

如果你對於雲開發有任何問題，都歡迎你在文章留言出留下你的疑問，我們將一一解答。

如果你想要了解更多關於雲開發CloudBase相關的技術故事/技術實戰經驗，請掃碼關注【騰訊云云開發】公眾號～

相關推薦