创作者权限失控？三步重构运营权责体系

　　去年九月，我正蹲在IDC机房听空调啸叫——那种低频嗡鸣，混着UPS风扇嘶嘶声，震得工位上那盒凉透的黄焖鸡盖子都在颤。李伟在群里@我第七次，发了个“????”加三张截图：创作者后台删了整站Tag云、把sitemap.xml权限设成403、还顺手改了robots.txt里disallow /api/ 这一行。我没回，盯着监控屏右下角跳出来的第四个503报警：CDN回源超时，持续十八秒。

　　我原以为是模板渲染崩了，结果查日志发现是/content/preview?id= 开头的请求全被302到登录页——可那个接口压根不该走登录校验。翻代码才看见，新人王倩上周提的PR里，把中间件顺序调错了，把auth middleware塞进了router最外层，连静态资源预览都裹进鉴权链。这事儿我说不准是不是故意的，但commit message写着“统一鉴权入口”，语气像在交思政作业。

文章配图，仅供参考

　　优胜劣汰？对。真淘汰掉的不是人，是权限颗粒度。现在后台“内容管理”菜单底下挂了七级嵌套：一级分栏目，二级分状态（草稿/已发布/归档），三级再按来源（爬虫抓取/人工录入/API同步）切片……但所有操作按钮都共享同一个RBAC角色组。陈默昨天想撤回自己误发的公告，点开“批量操作”才发现“撤回”按钮灰着，提示“无撤回权限”，可他点“删除”却弹出确认框——删完立刻触发了全文档重索引，蜘蛛当晚爬了三百七十二次，百度收录掉了一千多条。这个我敢打包票：他删的是带附件的公告，附件PDF的元数据被重新解析后塞进了description字段，全站SEO描述当场报废。

　　上个月我让运维把数据库只读副本从两台扩到四台，结果新上的一台凌晨三点开始狂刷slowlog，查出来是某个创作者在后台点“导出全部评论”，选了“含用户IP+UA+设备指纹”，导出任务跑在主库上，连带把MySQL的buffer pool冲空了三次。老赵在值班表备注栏写：“IP导出功能下周砍掉”，然后发了个哭笑不得的表情包，后面跟了个“老板说要保留‘创作者自主性’”。

　　三步重构？第一步先断网——不是技术断，是权限断。把content_api和publish_api拆成两个服务，一个只进ES不碰DB，一个只写MySQL不连Redis。第二步，每个创作者账号默认只能操作自己提交的ID区间，ID段按周轮转，上周李伟提交的ID是20230901-20230907xxx，这周自动换绑到新段。第三步最糙：所有涉及schema变更的操作，必须走GitOps，PR里带SQL diff，合并前由专人手敲一遍到测试库跑通。我试过，王倩提的PR里写了ALTER TABLE article ADD COLUMN seo_title VARCHAR(255) DEFAULT ''，可没写NOT NULL，上线后插入空值直接报错。她解释说“默认值能兜住”，我说你猜DBA昨天重放binlog时重置了多少条首页摘要？他没回，只甩来一张图：凌晨两点工位上半冷的蛋挞，奶油塌了一角，旁边手机屏亮着，显示钉钉未读97。

　　说到蛋挞，我昨天路过茶水间，看见陈默把打印机卡纸抽出来又塞回去三次，纸面全是歪斜的“禁止转载”水印。他骂了句脏话，我没听清，反正不是骂系统，是骂隔壁运营组临时加的需求，要求每篇正文末尾自动追加带二维码的“分享裂变海报生成入口”。那入口后来被蜘蛛当成正文内容索引了，导致首页TDK里冒出三百多个重复的base64字符串。

　　冷眼？算不上。就是看久了，发现不是权限太大，是路径太短。从前改个模板要过SVN审核、FTP传包、再ssh登机器chown，现在点三次鼠标、输两次密码、等十秒热更，就把整个站的meta description变成乱码。上次备案续期，管局后台弹窗提醒“检测到非备案域名访问”，点进去一看，是某创作者自己配的CDN CNAME指向了境外测试环境——他以为那是灰度发布开关。这事我没往上捅，只默默把他账户的DNS管理模块收了。但这事儿到底该算谁的？创作者？运营？还是当初设计RBAC时把dns_zone_update权限和publish_article塞进同一role的那个人？

　　我不准备推方案文档了。今晚下班前，我把config.json里的enable_auto_preview_on_edit 改成false，扔了个PR。王倩下午三点会approve，她习惯在饭后半小时点绿勾。我现在得去趟IDC，把UPS电池柜门关严——上次巡检，散热孔被塞了半张打印废纸，风机响得像哮喘病人喘气。李伟刚在群问：“预览页404是缓存没刷？”没人回。我就先不回了。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!