PostgreSQL文档说明行级访问策略及其适用边界。本文关注应用权限设计，并不要求读者改用该数据库，也不等同于ChinaOPC自身采用该功能。
权限依据必须来自企业系统
模拟员工从销售转到运营，AI服务应读取经过确认的身份与角色信息，不让用户在聊天中自行声明部门。访问范围由应用计算，不能仅由提示词决定。
撤权覆盖派生结果与缓存
即使原文件已不可访问，旧对话或搜索缓存仍可能显示内容。FDE需要列出相关存储，确定撤权后的读取规则，并说明历史材料如何处理。不能只验证新的查询被拦截就结束。
验收使用不同身份交叉检查
以客户批准的测试账号验证允许、禁止与角色变更后的情况，记录结果和例外。数据库所有者等特权角色可能存在不同机制，应核对实际配置。本文提出检查方法，不构成对某套系统已经完成隔离的安全结论。
延伸阅读：FDE案例。