企业官网建设流程全解析

GaussDB 从非三权分立切到三权分立后，系统管理员会同时失去 CREATEROLE 和 AUDITADMIN，也不再默认能访问其他用户模式下的表、视图、函数。这个变化要对照表2逐项裁剪，我选择让 Codex 走 TaoToken（https://taotoken.net/?utm_source=taotoken_aicg_blog_end ）来核对权限变化，因为它提供统一接入，不用在多个厂商配置之间来回切。先去官网拿 Key，再在 Codex 的 config.toml 里把 Base URL 指到 https://taotoken.net/api，就能让 Codex 帮你按角色清单输出裁剪点。

这次排查的起点不是 Codex，而是 GaussDB 文档表2里那几行「权限缩小」。系统管理员在表空间上权限无变化，但模式、自定义函数、自定义表或视图上都出现了「未被授予其他用户非系统模式的权限前，不能访问」的描述。权限缩小是安全设计，落到存量业务上却意味着要检查一批旧授权是否该回收、一批跨模式访问是否要改成显式授权。把这类重复性核对交给 Codex，比对着屏幕一项项翻要省事，但前提是 Codex 的模型请求能稳定发出，这就是我接统一 API 的原因。

1. 三权分立切换后，系统管理员权限缩在哪三处

1.1 角色属性：CREATEROLE 和 AUDITADMIN 先确认已收走

原本一个拥有 SYSADMIN 的系统管理员，在默认权限模型里几乎什么都能做。GaussDB 做三权分立，为的是避免系统管理员权力过度集中，把「用户管理」拆给安全管理员，把「审计管理」拆给审计管理员。所以切换后，系统管理员虽然还是 SYSADMIN 属性，但角色上不再带 CREATEROLE，也不能再维护审计日志。

排障时第一件事就是确认这个「不再带」。用 gsql 连到集群，执行\du查看目标角色：

\du

对照输出里每个角色的属性。如果 sysadmin_01 这一行还能看到 Create role 或 Audit admin，说明三权分立没有真正生效，或者切换后又被人为赋回去了。这种情况先别急着裁剪对象权限，要把角色属性回归到三权分立的预期状态，否则后面做的所有核查都会建立在一个错误前提上。

另外注意初始用户（id 为 10）的权限不受三权分立影响。文档也建议初始用户只作为 DBA 管理用途而非业务应用。排障时不要拿初始用户去测「系统管理员权限是否被裁剪」，测出来的结果永远是有权限，容易误判。

1.2 对象权限：表2里真正缩小的是模式、函数、表/视图

三权分立前，系统管理员对所有用户自定义表、视图、函数都有所有权限；三权分立后，只有自己的模式是自己的地盘，其他用户的非系统模式不再默认可访问。表空间是个例外：系统管理员对表空间依然有创建、修改、删除、访问、分配的权限，基本无变化。

裁剪动作主要落在后三行。如果系统管理员账号只是用来做运维，不访问业务数据，那回收跨模式访问是正确方向；如果它仍承担跨部门数据核对，就需要其他用户显式授权，走GRANT USAGE ON SCHEMA加对象级GRANT SELECT或GRANT EXECUTE。到底是回收还是补授权，取决于业务用途，这一步让 Codex 按清单梳理，比凭印象判断要稳。

实际操作时，我习惯把表1和表2放在同一屏：表1是默认权限模型的基线，表2是切换后的差异。Codex 在核对时也会问你要这两组信息，所以最好提前把角色清单整理成文本，而不是截图让它靠 OCR 猜。

2. 让 Codex 走 TaoToken：在 config.toml 里把 Base URL 指向统一 API

2.1 准备 API Key 和模型 ID

要让 Codex 帮我们核对权限，得先让 Codex 能正常调到大模型。我选择在 TaoToken 官网创建 API Key，原因是它提供统一的 API 通道，一个 Key 可以对应多种模型，模型广场里能看到当前可用的模型 ID，不用自己在多个厂商控制台之间横跳。打开官网注册后，创建一个 Key，本文统一用 YOUR_API_KEY 代替；模型 ID 以 https://taotoken.net/?utm_source=taotoken_aicg_blog_end 模型广场展示为准，不在这里编造。

2.2 Codex 的 model_provider 配置

Codex 的配置文件在~/.codex/config.toml。如果这个文件不存在，先创建目录和文件再编辑。把 model_provider 指向 TaoToken，并写上 Base URL。注意，这段配置和 Claude Code 那套 ANTHROPIC_BASE_URL 环境变量没有关系，Codex 只认自己的 provider 配置。

model = "YOUR_MODEL_ID" model_provider = "taotoken" [model_providers.taotoken] name = "TaoToken API" base_url = "https://taotoken.net/api" env_key = "TAOTOKEN_API_KEY"

然后把 Key 放进环境变量：

export TAOTOKEN_API_KEY=YOUR_API_KEY

有两个容易混的地址要分清楚：官网落地页负责注册、创建 Key、看模型广场和控制台；填进 Codex 配置的接口地址必须是 https://taotoken.net/api ，末尾不要加 /v1，也不要把 UTM 参数拼到接口地址上。UTM 参数放在落地页链接里做渠道标识，接口不认这个。

2.3 先验证一次调用再开始核对

配好之后，先跑一条最简单的命令确认链路通不通：

codex exec "用一句话说明你现在是通过 TaoToken 接入模型通道"

如果 Codex 能正常回复，说明 Base URL、Key、模型 ID 三个环节都没问题。此时再开始喂 GaussDB 权限清单，否则排障时会把「模型没调通」和「权限变化没核对清楚」混在一起，越来越乱。Codex 版本较老的话，可能没有 exec 子命令，直接运行 codex 进入交互式界面输入同样的话也可以。

3. 把角色和对象权限清单贴给 Codex，按表2逐项核对裁剪点

3.1 给 Codex 的结构化提问

把 GaussDB 的角色信息、对象归属、需要核对的权限项组织成一段清晰的问题。Codex 不知道你库里实际有什么，你给的清单越完整，它输出的对照越有用。可以按下面这个模板来写：

GaussDB 集群从非三权分立切换成三权分立。用户 sysadmin_01 原来有 SYSADMIN、CREATEROLE、AUDITADMIN 三个属性。另一个用户 finance 在模式 finance 下拥有表 t_payment、视图 v_repayment、函数 fn_settle。 请按 GaussDB 三权分立模型逐项说明 sysadmin_01 在表空间、模式、自定义函数、自定义表或视图上的权限变化，并列出需要裁剪的权限点。特别注意 sysadmin_01 在未被授权 finance 模式下任何权限时，能否访问 finance 模式下的表和函数。

我实际提问时，会把真实角色名、真实模式名和对象名替换进去。Codex 返回的答案通常会包含两大部分：一部分是系统管理员应失去的权限，包括角色属性层面的 CREATEROLE、AUDITADMIN，以及对象层面的跨模式默认访问；另一部分是仍然保留的权限，例如表空间权限和对自己模式的管理权。这个输出可以直接拿去和表2比对，发现不一致的地方再追问。

3.2 让 Codex 输出裁剪清单，再由本地 gsql 执行

Codex 只负责分析和生成，不负责连接你的 GaussDB。拿到它的建议后，要在本地用 gsql 登录集群执行实际的REVOKE或GRANT，执行完再把\du、\dp、\dn+的输出贴回对话，让 Codex 确认裁剪结果和预期是否一致。

这里有个细节：裁剪不只是REVOKE一条命令的事。系统管理员如果要去访问其他用户模式下的表，需要两层授权：先有模式上的USAGE，再对象上的SELECT/EXECUTE。Codex 在生成授权建议时，如果只给对象级授权而漏掉模式级授权，仍然会报permission denied for schema。反过来，只给模式授权不给对象授权，表还是访问不了。所以我把「模式授权」和「对象授权」分开让 Codex 列出，再对照实际执行结果。

考虑到三权分立后系统管理员对角色属性的变化是由切换机制本身完成的，人工要重点处理的是对象权限层。下面这组 SQL 是思路示例，实际语句以你的权限清单为准：

REVOKE ALL ON SCHEMA finance FROM sysadmin_01; REVOKE ALL ON finance.t_payment FROM sysadmin_01; REVOKE ALL ON finance.v_repayment FROM sysadmin_01; REVOKE ALL ON FUNCTION finance.fn_settle FROM sysadmin_01;

执行完再查一次授权是否清干净，而不是只看 REVOKE 命令有没有报错。Codex 这一步的作用是帮你把「该回收哪些、该保留哪些」理清楚，真正的手动操作留在本地。

3.3 PG_STATISTIC 的例外别被裁剪掉

GaussDB 文档里有个 NOTICE：三权分立后系统管理员仍可通过访问 PG_STATISTIC 和 PG_STATISTIC_EXT 系统表，获取高频值 MCV 等统计信息里的敏感内容。这一点很容易被忽略，因为表2只看「系统管理员对其他用户模式无权限」，容易让人误以为它彻底被隔离。

在让 Codex 核对权限变化时，可以单独把这条加进去问一句：

另外，GaussDB 文档提到三权分立后系统管理员仍可访问 PG_STATISTIC 相关系统表获取统计信息敏感内容，这个例外在裁剪时需要注意什么？

Codex 会提醒你：权限裁剪的目的是消除不必要的对象访问，但这种系统表读取属于数据库内部机制，不是通过普通 GRANT 授权形成的，不能用常规 REVOKE 去处理。如果业务上对 MCV 这类统计信息敏感，需要考虑脱敏或从应用层规避，而不是简单回收权限。

4. 排障：Codex 返回 401 与系统管理员权限未缩小的正确处理

4.1 Codex 报错的三个常见点

调用 Codex 过程中最容易遇到三类问题。第一类是 401 Unauthorized，通常是 TAOTOKEN_API_KEY 没设置对，或者 Key 里混入了空格、引号。第二类是模型不存在或 model not found，因为 config.toml 里写的模型 ID 和模型广场展示的不一致。第三类是 404，多半是 base_url 写成了 https://taotoken.net/api/v1 ，接口地址已经在 /api 结束，再加 /v1 就找不到路由。

这几个问题有一个共同特征：和 GaussDB 没有任何关系，纯粹是模型通道没配好。所以我在第 2 节特意要求先跑一次最简单的验证命令，确定 Codex 通了，再进权限核对流程。

提示：遇到 401 时，先回官网控制台确认真实 Key 是否有效，而不是反复改 base_url。Key 的创建和用量查询都在落地页里完成，接口地址不负责这些事。

4.2 权限裁剪看似做了，实际没生效

另一种排障发生在 GaussDB 侧。Codex 给出的裁剪清单里要求移除系统管理员的 CREATEROLE 和 AUDITADMIN，但执行完\du一看，角色属性还在。这时候先确认三权分立是否真的切换成功；GaussDB 文档明确说，如需使用三权分立应在数据库初始化阶段指定，不建议来回切换。如果是在运行中改的，需要确认参数是否生效并按要求重启或联系华为工程师确认。

还有一种情况是系统管理员仍然能访问到其他用户模式下的表。用\dp finance.t_payment查看授权，往往能发现是历史显式授权残留。三权分立收回的是「默认访问」，不等于把所有已存在的显式授权全部清掉。Codex 可以帮你列出该回收的清单，但具体回收动作要由你在本地执行，执行完把结果贴回来再确认。

提示：权限核对和裁剪时，不要把初始用户当成验证工具。初始用户权限不受三权分立影响，用它的会话去访问其他用户模式，永远不会触发permission denied，这会掩盖真实的权限状态。

4.3 Codex 不直连生产库，边界说清楚

在整条排障链路里，Codex 是一个分析助手，不直接登录 GaussDB 集群。它不会替你去执行REVOKE，也不会读取生产库里的实际权限数据。所有真实的权限查询和变更，都需要你在本地用 gsql 完成，再把结果贴回对话。这既是安全边界，也让每次裁剪都有据可查，避免 Codex 误操作。

如果你把业务判断也交给 Codex，那要承担模型理解偏差的风险。比如「系统管理员不再默认访问其他用户模式」不等于「任何跨模式授权都必须删掉」，Codex 只能根据你贴给它的清单做判断，最终的业务决定要以 GaussDB 官方文档和华为工程师答复为准。

5. 核完清单后回 TaoToken 控制台确认这次调用

5.1 把裁剪清单和调用记录一起归档

一次权限裁剪核对结束后，把 Codex 输出的裁剪点、你在本地执行的 REVOKE/GRANT、以及\du的复核结果放在一起归档。归档时我通常建一个 Markdown 文件，把切换前后的表1/表2、Codex 输出、实际执行的 SQL、执行后的授权查询结果按时间顺序放进去。这样如果后期有人问「为什么 sysadmin_01 访问不了 finance 模式下的表」，可以直接翻到这次裁剪记录，看到是哪一个时间点 REVOKE 掉的，是谁建议的、谁执行的。

归档时顺手打开 https://taotoken.net/?utm_source=taotoken_aicg_blog_end 控制台，看这次对话消耗的 token 量和模型 ID，确认走的确实是预期模型。这一步对后续排障也有用：如果哪天发现权限核对结果异常，能通过调用记录反推是哪次对话、哪个模型给出的建议。这也是我坚持用统一接口的原因：所有对话都走同一个入口，账单和模型记录集中在一起，不会因为换工具就散落各处。

5.2 给切换操作留一条回退路径

最后提醒一句：三权分立不是随便切着玩的权限开关，GaussDB 文档建议在数据库初始化阶段指定，不要来回切换。从非三权分立切过来时，重新审视已有用户权限集合是必须做的；如果你的业务还没准备好，切回去的成本可能比裁剪更高。拿不准的地方把 Codex 的分析结果和实际授权记录一起发给华为工程师确认，再动生产库。

权限裁剪的目的是让系统管理员回到「该有的权限，不该有的不放」的状态，Codex 帮你把这道题从人肉翻表变成逐项对照，但最终按下 REVOKE 的按钮，还是得你自己来。