В том, что это ошибочная парадигма, согласен. Но кстати, вот так вот сходу совершенно не вижу, как можно без дикого переусложнения обеспечить, чтобы управление данными происходило не от имени сайта (того unix user, от чьего имени код исполняется).

В смысле, я хорошо себе представляю, как сделать, чтобы управление кодом и его исполнение происходило от разных юзеров, но управлять данными нужно вне зависимости от того, пришел к нам через веб-интерфейс администратор или рядовой посетитель.

Если говорить за какую-нибудь bug-tracking system (довольно типичный пример не вполне тривиальной CMS), там рядовой посетитель, порой даже не авторизованный, создает тикеты, загружает файлы к ним (файлы хранятся в файловой системе), меняет состояние тикетов... И workflow такой, что на уровне пользователей что БД, что ОС, хрен разнесешь, что можно делать админу, а что рядовому пользователю.

С ОС пример сходу: право на создание и на удаление файла в UNIX - одно и то же право, а в workflow это с большой вероятностью разные права. Ну, с БД и того понятнее - разные переходы между состояниями тикетов (изменение одного и того же поля в одной и той же таблице, только в зависимости от того, что там было и что стало) допустимы для разных посетителей.

Я не вижу вменяемого способа растащить это по разным unix users и database users.

Есть, конечно, сайты, где посетитель может только читать, но даже сделать заказ - это уже workflow, который по разным юзерам БД достаточно просто не разнесешь. Наверное, еще можно, но уже сложно, и не факт, что не просядешь на порядок в производительности.