postgresql 9.1 - 通过函数访问表

Question

我有 3 个角色：超级用户、高级用户和用户。我有表“数据”和函数 data_select 和 data_insert。

现在我想定义，只有超级用户才能访问表“数据”。 Poweruser和user不能直接访问表“数据”，只能通过函数访问。

用户只能运行data_select函数，高级用户可以运行data_select和data_insert。

这样我就可以创建用户 alice、bob……并继承他们的 user 或 poweruser 权限。

这实际上可以实现吗？我已经为此奋斗了第二天，却一事无成。

谢谢您的宝贵时间。

Answer 1

是的，这是可行的。

默认情况下，“超级用户”可以是实际的超级用户，postgres。
我将普通用户的角色重命名为 usr，因为 user 是保留字 - 不要将其用作标识符。

CREATE ROLE usr;
CREATE ROLE poweruser;
GRANT usr TO poweruser;  -- poweruser can do everything usr can.

CREATE ROLE bob PASSWORD <password>;
GRANT poweruser TO bob;

CREATE ROLE alice PASSWORD <password>;
GRANT usr TO alice;

REVOKE ALL ON SCHEMA x FROM public;
GRANT USAGE ON SCHEMA x TO usr;

REVOKE ALL ON TABLE x FROM public;
REVOKE ALL ON TABLE y FROM public;

CREATE FUNCTION
  ...
SECURITY DEFINER;

REVOKE ALL ON FUNCTION ... FROM public;
GRANT EXECUTE ON FUNCTION a TO usr;
GRANT EXECUTE ON FUNCTION b TO poweruser;

或者，您可以创建无需登录的守护程序角色来拥有这些功能并持有表上的相应权限。这样就更安全了。

如果您选择这条路线，您会喜欢 更改默认权限（随 PostgreSQL 9.0 引入）。 此相关答案中有更多详细信息。

阅读章节编写SECURITY DEFINER< /code> 手册中的安全功能。