必须将部门过滤条件固化在视图定义中、显式列出字段、分层授予权限，缺一不可；否则部门数据可能互相可见。例如MySQL需为每个部门建独立视图如CREATE VIEW v_sales_users AS SELECT id, name, phone FROM users WHERE dept_id = 101;，并严格授权视图权限且禁用基表访问。
直接用视图做部门隔离，核心不是“建个视图就行”，而是必须让过滤条件固化在视图定义里、字段显式列出、权限分层授予——漏掉任一环，部门之间数据就可能互相可见。
视图必须显式写WHERE dept_id = ?，不能靠应用层拼条件
很多人以为在应用里查 SELECT * FROM v_user WHERE dept_id = ? 就算隔离了，其实这是伪安全。视图本身没带过滤，任何用户只要绕过应用直连数据库，执行 SELECT * FROM v_user 就能看到全量数据。
- 正确做法：视图定义里硬编码部门过滤逻辑，例如
CREATE VIEW v_sales_users AS SELECT id, name, phone FROM users WHERE dept_id = 101; - MySQL 不支持视图参数，所以每个部门得建独立视图（
v_sales_users、v_hr_users）；PostgreSQL 可用CURRENT_SETTING('app.dept_id')动态读取，但需提前配置custom_variable_classes并确保连接初始化时已SET app.dept_id = '101' - 禁止在视图里用
SELECT *—— 后续基表加字段会破坏下游解析，比如 Java 应用调rs.getString("email")突然报错
授视图权限前，必须先给角色 schema 的 USAGE 权限
GRANT SELECT ON v_sales_users TO sales_analyst 成功不代表能查。如果 sales_analyst 对 public schema 没有 USAGE 权限，执行时仍会报 permission denied for schema public。
- PostgreSQL 必须同步执行：
GRANT USAGE ON SCHEMA public TO sales_analyst; - SQL Server 要确认角色有
VIEW DEFINITION权限，否则连sp_helptext v_sales_users都失败，排查时容易误判 - MySQL 相对宽松，但若视图跨库（如从
hr_db.users查），必须额外授SELECT权限到源库表，且账号得有对应库的访问权限
用 role_readonly + v_* 命名统一管控，避免权限爆炸
当销售、HR、财务各自要不同视图时，逐个 GRANT SELECT ON v_xxx TO role_yyy 很快失控。运维改一个字段，就得手动补十来条授权。
- 建基础角色：
CREATE ROLE role_readonly;，再GRANT SELECT ON ALL TABLES IN SCHEMA public TO role_readonly;（仅限视图，不授基表） - 所有视图命名强制带前缀：
v_sales_summary、v_hr_orgchart，方便后期审计或批量授权 - 业务角色继承基础角色：
GRANT role_readonly TO sales_analyst;，新增视图只需确保它在v_*范围内，权限自动生效 - 严禁直接给终端账号授视图权限——万一哪天要回收某类权限，得翻几十行 GRANT 记录
WITH CHECK OPTION 只在需要部门写入隔离时才加
部门只读场景下，WITH CHECK OPTION 是多余负担。它真正起作用的地方是允许用户通过视图 INSERT/UPDATE，但必须确保操作不越界。
- 例如
CREATE VIEW v_finance_payments AS SELECT * FROM payments WHERE dept_id = 201 WITH CHECK OPTION;，此时INSERT INTO v_finance_payments (amount) VALUES (100)会失败，因为没传dept_id - 但如果写入由应用或存储过程控制，且所有 INSERT 都显式带
dept_id = 201，那这个选项纯属增加出错概率，没必要加 - 更稳妥的写入控制是在基表上建
BEFORE INSERT触发器，而不是依赖视图约束
最容易被忽略的是：视图不存数据，执行时仍走基表权限校验链。哪怕你把视图建得再干净，只要创建者账号失效、schema USAGE 缺失、或 PostgreSQL 里 CURRENT_SETTING 没设对，整条链就断了——用户要么查不到数据，要么查到不该看的。
