#!/bin/sh
# 数据库角色（data-model §2.4）：bd_owner 建表和迁移；bd_app 给 api / worker，受行级安全策略约束；
# bd_auth 不登录，只拥有登录前查会话的两个函数。只在数据卷第一次初始化时执行。
set -eu
psql -v ON_ERROR_STOP=1 --username "$POSTGRES_USER" --dbname "$POSTGRES_DB" <<SQL
CREATE ROLE bd_app LOGIN PASSWORD '${BD_APP_PASSWORD}';
CREATE ROLE bd_auth NOLOGIN BYPASSRLS;
GRANT CONNECT ON DATABASE ${POSTGRES_DB} TO bd_app;
SQL