Navicat无法直接绘制语义级RBAC ER图，因其仅支持物理表结构建模；需先用PlantUML等工具设计概念模型，再落地为users、roles、permissions、user_roles、role_permissions五张表并严格设置InnoDB引擎与匹配外键，最后反向生成ER图。
Navicat 里画不出真正的 RBAC ER 图，先别急着拖表
navicat 的「er 图设计」功能本质是反向工程（从已有表生成图）或正向建模（手动建表再连关系），它不支持抽象角色、权限、资源等概念的语义建模。你直接在 navicat 里新建几个叫 user、role、permission 的表并连线，画出来的只是物理表结构图，不是 rbac 模型图——比如无法表达“角色可继承”“权限按域隔离”“操作级 vs 数据级权限”这些关键语义。
真正需要的是：先用纸笔或 PlantUML / draw.io 做概念模型（Conceptual ERD），明确实体间约束；再把确定后的三张核心表（users、roles、permissions）和关联表（user_roles、role_permissions）落地为 Navicat 中的物理表；最后让 Navicat 自动反向生成 ER 图——这才是合理路径。
必须建的 5 张表及其外键怎么设才符合 RBAC 约束
RBAC 最小可行实现至少要这 5 张表，缺一不可。Navicat 建表时，外键设置错误会导致 ER 图连线错乱或缺失：
-
users：主键id，无外键 -
roles：主键id，可加parent_id字段指向自身（用于角色继承），外键设为FOREIGN KEY (parent_id) REFERENCES roles(id) -
permissions：主键id，建议加resource（如"post"）和action（如"create"）字段，便于后续策略判断 -
user_roles：联合主键(user_id, role_id)，外键分别指向users.id和roles.id -
role_permissions：联合主键(role_id, permission_id)，外键分别指向roles.id和permissions.id
注意：user_roles 和 role_permissions 必须设为「多对多关联表」，不能漏掉任一外键。Navicat 在「外键」标签页里手动添加时，目标列必须严格匹配被引用表的主键类型（比如都是 BIGINT UNSIGNED），否则反向生成 ER 图时连线会断开。
用 Navicat 反向生成 ER 图时，为什么连线总是不全
常见原因不是 Navicat bug，而是底层约束没生效：
- MySQL 表引擎不是
InnoDB—— MyISAM 不支持外键，Navicat 读不到约束，自然连不了线。建表时务必确认引擎：右键表 →「设计表」→ 底部「存储引擎」选InnoDB - 外键名重复或含非法字符（如空格、中文）—— Navicat 解析失败。命名统一用
fk_user_roles_user_id这类下划线风格 - 字段字符集/排序规则不一致（如
utf8mb4_0900_as_csvsutf8mb4_general_ci）—— 外键创建会静默失败。建表前统一数据库默认字符集，或显式指定CHARACTER SET utf8mb4 COLLATE utf8mb4_0900_as_cs - Navicat 缓存未刷新—— 修改外键后，右键连接 →「刷新」，再右键数据库 →「逆向工程」重新生成 ER 图
画完图发现中间表没显示「多对多」符号，怎么办
Navicat 默认不会在 ER 图上标注「多对多」，它只画外键连线。想让 user_roles 显示为菱形关联实体（标准 ER 图惯例），得手动调整：
- 生成 ER 图后，双击
user_roles表，在属性面板中勾选「作为关联实体（Associative Entity）」 - 同理处理
role_permissions - 如果选项灰掉，说明该表缺少至少一个有效外键——回到表设计检查
CONSTRAINT是否存在且启用
注意：这个设置只影响图示外观，不改变数据库行为。真正决定多对多逻辑的，永远是那两个外键 + 联合主键的组合，不是图标形状。
RBAC 的复杂性不在表数量，而在权限校验逻辑和运行时策略。Navicat 能帮你把基础结构画清楚，但 hasPermission(user, "post:create") 这种调用背后的数据查法、缓存策略、租户隔离，得靠代码层解决——图只是起点，不是终点。
