RBAC 的 R 是 Role，不是 User。

如果你说的多用户是像 V 站这样的系统，你和我都是 User，我们的 Role 是同样的（ User ），livid 的 Role 是超级管理员（ SU ），所以我们和他权限不同，根据不同的角色来区分权限的策略，就是 Role-Based Access Control。

你发了这个帖子，你可以将这个帖子下沉一天，livid 也可以，因为发帖人本人拥有下沉自己帖子的权限，livid 有下沉所有帖子的权限。但是我不可以沉你的帖子，因为这个帖子在数据库中关联了你这个用户。
也就是说，所有用户会出现在数据库的一张用户表中，所有帖子也保存在一张帖子表中，通过一个 user_id 字段来区分发帖人。

没错，应该有通用中间件来做权限验证。

建议去 github 上找一个论坛类开源项目学习一下。