#!/bin/sh
# 数据库角色（data-model §2.4）：bd_owner 建表和迁移；bd_app 给 api / worker，受行级安全策略约束；
# bd_auth 不登录，只拥有登录前查会话的两个函数；bd_ops 给运营后台的跨企业查询（决策 M6-2）。
# 只在数据卷第一次初始化时执行；已有的数据卷要手工补建 bd_ops（见 docs/architecture/m6-plan.md）。
set -eu
psql -v ON_ERROR_STOP=1 --username "$POSTGRES_USER" --dbname "$POSTGRES_DB" <<SQL
CREATE ROLE bd_app LOGIN PASSWORD '${BD_APP_PASSWORD}';
CREATE ROLE bd_auth NOLOGIN BYPASSRLS;
CREATE ROLE bd_ops LOGIN BYPASSRLS PASSWORD '${BD_OPS_PASSWORD}';
GRANT CONNECT ON DATABASE ${POSTGRES_DB} TO bd_app, bd_ops;
SQL