开发 AI 照片应用 MVP 时如何避免在后端配置上耗费数周

一位开发者正在做一款 AI 照片应用 MVP，用户可上传图片、生成不同版本并收藏到个人图库，登录流程已完成，正着手图片存储与管理功能。他纠结权限逻辑该放在哪里：是用 Postgres 的行级安全（RLS）在数据库层隔离用户数据，还是把权限校验放在后端，并希望现在就定好方案，避免上线后重构。