PostgreSQL:隐藏函数后面的表插入更新删除

Question

我了解如何使用GRANT来控制谁可以对数据库对象执行什么操作。

我有一个案例，在阻止用户直接访问表的同时，使用特定函数来修改表的内容会很有用。

假设我有一个股票控制表，我想要一个只修改一列的函数increase_stock(int)。还有其他函数也会修改其他列。

我的实际表有 ltree 数组和整数数组，这使得触发器成为不可取的选项，因为它没有提供一种直接操作一个字段而不测试每个字段更改的干净方法。更重要的是，它不会创建我想要的 API。

无论采用哪种方法，我是否可以创建一个对用户可见的函数，而该函数访问对该用户不可见的表？

我使用的是 PG 10。

Answer 1

下面是一个select的示例。 插入更新和删除或多或少相同：

t=# create table sd(i int);
CREATE TABLE
t=# insert into sd select 1;
INSERT 0 1
t=# create user nr;
CREATE ROLE
t=# create function s() returns table (i int) as $$ 
begin
return query select * from sd;
end;
$$ language plpgsql security definer;
CREATE FUNCTION

现在以 NR 身份登录：

-bash-4.2$ psql -U nr t
psql (9.3.14)
Type "help" for help.
t=> select * from sd;
ERROR:  permission denied for relation sd
t=> select * from s();
 i
---
 1
(1 row)

https://www.postgresql.org/docs/current/static/sql-createfunction.html

安全调用程序指示该函数将使用 调用它的用户的权限。这是默认设置。 安全定义器指定要执行的函数 拥有它的用户的权限。

当然，这意味着函数所有者需要关系权限