neo4j权限如何管理

在 Neo4j 中，权限管理主要通过“角色（Role）+ 权限（Privilege）”机制来完成，从 4.x 开始使用标准的 Cypher 授权语句（GRANT / DENY / REVOKE）。下面按“概念 → 操作 → 常见场景”给你一个完整说明。

一、核心概念

1. 用户（User）

• 登录 Neo4j 的账号
• 一个用户可拥有多个角色

2. 角色（Role）

• 权限的集合
• 系统自带角色：
  • admin：超级管理员
  • reader：只读
  • editor：读写
  • publisher：创建/修改数据
  • architect： schema + 数据
• 也可自定义角色

3. 权限对象（Privilege Target）

权限可以作用在：

• 数据库（DATABASE）
• 图（默认图）
• 标签 / 关系类型（LABEL / RELATIONSHIP）
• 属性（PROPERTY）

二、用户与角色管理

1. 创建用户

CREATE USER alice SET PASSWORD '123456' CHANGE NOT REQUIRED;

2. 创建角色

CREATE ROLE analyst;

3. 用户绑定角色

GRANT ROLE analyst TO alice;

4. 查看用户 / 角色

SHOW USERS;
SHOW ROLES;
SHOW ROLE PRIVILEGES analyst;

三、权限类型（GRANT / DENY / REVOKE）

常见权限

• READ：读数据
• WRITE：写数据
• TRAVERSE：遍历
• CREATE / DELETE / MERGE
• SET LABEL / REMOVE LABEL
• SET PROPERTY

四、数据库级权限示例

1. 只读权限

GRANT READ ON DATABASE neo4j TO analyst;

2. 读写权限

GRANT WRITE ON DATABASE neo4j TO editor;

3. 拒绝删除

DENY DELETE ON DATABASE neo4j TO analyst;

五、细粒度权限（标签 / 属性级）

1. 只允许读某个标签

GRANT READ {*} ON GRAPH neo4j NODE Person TO analyst;

2. 限制属性

GRANT READ {name, age} ON GRAPH neo4j NODE Person TO analyst;

3. 禁止写某标签

DENY WRITE ON GRAPH neo4j NODE User TO analyst;

六、企业版 vs 社区版

⚠️ 社区版只有单个用户（neo4j），不支持权限管理

七、常见实战场景

场景 1：只读分析账号

CREATE ROLE reader_role;
GRANT READ ON DATABASE neo4j TO reader_role;
CREATE USER bob SET PASSWORD 'pwd';
GRANT ROLE reader_role TO bob;

场景 2：只能看“公开数据”

GRANT READ {*} ON GRAPH neo4j NODE PublicPost TO guest;
DENY READ ON GRAPH neo4j NODE PrivatePost TO guest;

八、最佳实践建议

• ✅ 用角色而不是直接给用户授权
• ✅ 最小权限原则
• ✅ 敏感数据用 DENY 显式禁止
• ✅ 生产环境使用企业版 + SSL + LDAP

如果你愿意，我可以：

• 给你一套 权限模板（RBAC）
• 讲 Neo4j + Spring Security 权限控制
• 或针对 某个业务场景设计权限模型

你现在是社区版还是企业版？用在什么系统里？