Post #571

主要有 posts 和 comments 两个表。（还有个 users 表，不过权限限得很死） 用户只能删除由自己创建的 post (if post.created_by == <user>.id)，没毛病。（comment 同理） 但是它没有限制用户 update 别人的 post 或 comment，所以可以把别的 post/comment 的 created_by 改成自己。然后就能删任意帖子了。 —— 用 PostgREST 这类中间件，让客户端直通数据库时要注意权限设计啊！毕竟没有传统意…