分页查询必须先应用权限条件再分页，否则会导致页数错乱、总数不准、漏数据；总数统计需用无分页参数但带权限条件的新db实例；复杂权限建议用scope封装；游标分页更适配权限动态变化场景。
分页查询前必须先 Apply 权限 WHERE 条件
权限控制不是加在分页之后的过滤层，而是要嵌入到分页主查询的最上游。否则 Offset 和 Limit 会基于全量数据计算偏移，再被权限 WHERE 截断——结果页数错乱、总数不准、甚至漏数据。
常见错误是先查总数、再 Apply 权限、最后分页，这会导致 Count 和 Find 的 WHERE 不一致。正确顺序是：构造带权限条件的 *gorm.DB 实例 → 分别用于 Count 和 Find。
- 用
db.Where("tenant_id = ?", tenantID)或更复杂的 RBAC 表 JOIN（如db.Joins("JOIN user_roles ON users.id = user_roles.user_id").Where("user_roles.role IN ?", roles)）提前约束数据集 - 权限条件必须和分页共用同一个
db实例起点，不能在Limit/Offset之后才Where - 若权限逻辑复杂（如多租户+数据分级），建议封装成
Scope函数，例如func TenantScope(tenantID uint) func(db *gorm.DB) *gorm.DB，然后db.Scopes(TenantScope(tenantID))
总数查询必须隔离权限上下文，避免复用链式 db
db.Where(...).Limit(10).Offset(20).Count(&total) 返回的永远是 ≤10，因为 Count 继承了前面的 Limit 和 Offset —— 这是 GORM 最隐蔽的坑之一。
权限分页场景下，总数必须反映“当前用户可见的数据总量”，而不是“分页后剩余量”。所以 Count 查询必须从一个干净的、带权限条件但无分页参数的 *gorm.DB 开始。
- 推荐写法：
db.Session(&gorm.Session{NewDB: true}).Model(&User{}).Where("tenant_id = ?", tenantID).Count(&total) - 如果用了
Scopes封装权限，Count也要同样调用：db.Session(...).Scopes(TenantScope(tenantID)).Count(&total) - JOIN 类权限（如通过角色表过滤）慎用
Count，容易因 LEFT JOIN 导致重复计数，此时应手写子查询：db.Raw("SELECT COUNT(*) FROM (SELECT DISTINCT users.id FROM users JOIN user_roles ... WHERE ...) AS t").Scan(&total)
游标分页比 Offset 更适合权限敏感场景
当权限规则导致可见数据集动态变化（如某条记录突然因角色变更不可见），传统 Offset((page-1)*size) 会跳过或重复——因为“第 N 条”这个位置本身就不稳定。
游标分页用确定性排序字段（如 id 或 created_at, id）+ 上一页末尾值做 WHERE，天然规避位置漂移问题，也更利于权限收敛。
- 示例：用户只能看自己部门数据，且按
created_at DESC, id DESC排序，则下一页条件是WHERE department_id = ? AND (created_at, id) - 注意：游标字段必须有联合索引，且权限条件（
department_id = ?）要放在 WHERE 前半部分，才能命中索引 - 前端不再传
page，而是传cursor（如 base64 编码的"2026-08-20T10:00:00Z,12345"），后端解码后拼 WHERE
Preload 关联加载不能直接用在分页主查询里
在权限分页中调用 Preload("Orders") 是高危操作：GORM 会先查出 10 个用户，再为这 10 个 ID 发一条 SELECT * FROM orders WHERE user_id IN (1,2,...,10) —— 但这条语句没带任何权限条件，可能加载出越权数据。
更糟的是，如果 Orders 表本身也有租户隔离要求，这个 Preload 就完全失效。
- 正确做法是两步走：先分页查主表 ID 列表（
SELECT id FROM users WHERE tenant_id = ? ORDER BY id LIMIT 10 OFFSET 0） - 再用这些 ID + 同样的权限条件查关联数据：
db.Where("user_id IN ? AND tenant_id = ?", ids, tenantID).Find(&orders) - 或者改用
Joins+Select手动控制字段和条件，避免隐式加载
实际落地时，最容易被忽略的是权限条件在 Count 和 Find 之间的一致性，以及 Preload 对权限边界的穿透。这两个点不卡死，上线后要么数据泄露，要么分页错乱，而且问题往往只在特定权限组合下才暴露。
