做匿名举报系统，难的不是表单，而是权限模型与动态隔离

刚开始构思匿名举报（ Whistleblowing ）系统时，思路看起来很简单：前端放个表单，后端落库，再做个后台给 HR 或 Auditing 团队看。

但真正设计架构时才发现，<textarea> 提交表单是全系统最简单的部分。核心难题全在数据落库之后：动态权限、数据最小化以及无身份通信。

总结了我们在实际工程中遇到的几个核心冲突，想和大家探讨一下：

1. 利益冲突 vs 静态 RBAC：当 Admin 成为被举报人
传统的 RBAC 模型通常是：Admin 拥有查看所有数据的权限。
但在举报场景中，如果员工举报了自己的直属领导，而这位领导正好拥有系统 Admin 权限，直接套用 RBAC 就会立即失效——被举报人能直接在后台看到针对自己的举报。

此时权限不能仅依赖 Role ，必须引入上下文/内容感知（ Content-Aware Authorization ）：

can_access = has_permission && !is_involved_in_report(current_user, report_id)

伪代码很简单，但落到工程上就会引发一连串边缘问题：

- 谁来认定“涉案/关联”？（仅限被举报人，还是包含被提及的证人？）

- 如果调查人员在调查中途被追加为涉案人，如何实时剥离其权限并重新指派？

- 当所有默认有权限的人都存在利益冲突时，兜底的访问规则该怎么设计？

2. 匿名不是“不存姓名”，而是数据最小化架构
很多系统以为不收集 name 字段就是匿名。但常规 Web 栈默认记录了太多数据：

- Web Server & Nginx Access Log (IP)

- WAF / CDN Payload 留存

- APM / Analytics (Session ID, User-Agent)

- 附件中的 Exif 元数据

在这种敏感系统里，思考方式必须从“这个数据以后可能有用”转变为“我们能否在架构层面让这个数据根本不存在”。数据最小化（ Data Minimization ）不是法律条款，而是系统设计决策。

3. 无账号体系下的“匿名双向通信”
补充举证（ Follow-up ）是刚需，但举报人没有注册账号，系统不能也不应该知道他是谁。
这里的解法是将通信上下文绑定到单据本身而非用户：

- 提交后生成高熵值的 report_id + access_token

- 举报人凭凭证随时返回查看进度、补充材料

- 调查员面向该 Token 发送消息，双方在不建立 User Identity 的前提下完成加密对话

4. 技术实现 vs 用户信任（ UX 细节）
就算我们在后端删掉了 IP 、加密了数据库、隔离了权限，用户打开页面依然会怀疑：“这真的匿名吗？”

- 抽象的表态：“您的举报完全匿名”（说服力低）

- 具象的技术告知：“系统不记录 IP 地址，自动擦除上传文件的元数据，且不保留 Session”（说服力高）

技术是隐形的，但信任需要被感知。 很多时候基础设施的选择，直接决定了 UX 怎么写。

想请教一下大家：
当权限逻辑严重依赖“当前用户与具体记录内容的关系（如利益冲突避让）”时，大家在项目中更倾向于把这种 Policy 放在哪里？

- 应用层逻辑（ Service / Middleware / Policy Layer ）

- 数据库层（如 PostgreSQL Row Level Security / RLS ）

- 独立的鉴权引擎（如 OpenFGA / OPA / Zanzibar 架构）

- 多层分散处理？