不能用单角色外键字段（如 role_id），因为无法支持用户多角色（如编辑+审核员），导致权限查询遗漏、扩展用户组时权限叠加混乱；必须用中间表实现多对多关系。

CodeIgniter 框架里做 RBAC，表结构不能照搬通用设计——sys_user_role 这类“用户-角色”关联表必须支持多角色，否则管理员加个审计角色就失效；而“用户组权限”若强行塞进同一套关联逻辑，会直接导致权限叠加混乱。

为什么不能用单角色外键字段（如 role_id）？

CI 项目常从简单开始，有人直接在 users 表加 role_id 字段，以为一个用户只配一个角色。这会导致：

• 无法实现“用户同时是编辑+审核员”的真实场景
• getUserPermissions() 只查一条角色，漏掉其他角色的权限
• 后续扩展用户组（group）时，权限来源变成“用户个人角色 + 所属组角色”，但单字段根本存不下

正确做法是拆出独立的中间表，哪怕初期只用一个角色，也要预留多对多能力。

user_group 和 group_role 表要不要加？

要加，但不是必须立刻启用。很多 CI 项目卡在这一步：要么全不用组，要么一上来就堆四张表，结果 group_role_permission 里全是空数据。实际建议：

• 先建 user_groups 和 user_group_member（用户和组的多对多）
• 再建 group_roles（组可分配哪些角色），复用已有 roles 和 role_permissions 表
• 权限聚合逻辑统一走 getUserPermissions($userId)：查该用户所有直连角色 + 所属组对应的所有角色 → 合并去重权限码
• 避免新增 group_permissions 表——它和 role_permissions 语义重复，徒增同步负担

permission 表的 resource_type 字段怎么填才不翻车？

这个字段决定权限校验时能否精准匹配。CI 的钩子或过滤器（如 post_controller_constructor）靠它分流处理，填错就白校验。常见错误：

• 把菜单和按钮都标成 MENU，结果按钮点击没拦截
• API 接口权限写成 API，但校验逻辑只认 HTTP 或 ROUTE
• 前端传来的权限码是 article:edit，后端却按 resource_type='BUTTON' 去查，而实际存的是 OPERATION

推荐值固定为：MENU（左侧导航/顶部菜单）、BUTTON（页面内操作按钮）、API（接口路径，如 /api/v1/orders）、ELEMENT（DOM ID 或 class，用于 JS 控制显隐）。校验前务必确认前端请求携带的权限标识与该字段值能对上。

CI 钩子中权限校验失败，为什么日志里看不到具体哪条权限缺失？

因为默认 log_threshold 设为 1（只记 Error），而权限拒绝通常走 show_403() 或跳转，不触发 PHP error。解决方法：

• 在 rbac_hook.php 的 aoto_verify() 里加一行：log_message('debug', "User {$userId} denied access to {$currentRoute}, missing permission: {$requiredPerm}");
• 确保 config/config.php 中 $config['log_threshold'] = 4;（DEBUG 级别）
• 检查 application/logs/ 目录权限，CI 默认用 0644，Web 服务器需有写入权

最易被忽略的是：权限码字符串大小写敏感，order:create 和 ORDER:CREATE 在数据库里是两条记录，校验时一个字母不对就静默失败。