如何使用Postgresql 數(shù)據(jù)庫(kù)權(quán)限功能

這期內(nèi)容當(dāng)中小編將會(huì)給大家?guī)?lái)有關(guān)如何使用Postgresql 數(shù)據(jù)庫(kù)權(quán)限功能，文章內(nèi)容豐富且以專業(yè)的角度為大家分析和敘述，閱讀完這篇文章希望大家可以有所收獲。

基本權(quán)限

用戶和角色都可以被賦予基本權(quán)限，比如創(chuàng)建數(shù)據(jù)庫(kù)權(quán)限、超級(jí)用戶權(quán)限、創(chuàng)建角色權(quán)限等。

比如創(chuàng)建用戶的語(yǔ)句為：

CREATE ROLE guest LOGIN
 NOSUPERUSER INHERIT NOCREATEDB NOCREATEROLE NOREPLICATION;

注意上述Role guest擁有LOGIN的權(quán)限，所以叫它用戶。

創(chuàng)建角色的語(yǔ)句為：

CREATE ROLE "group"
 NOSUPERUSER INHERIT NOCREATEDB NOCREATEROLE NOREPLICATION;

注意這里沒(méi)有LOGIN權(quán)限，所以是角色。

上述角色和用戶的創(chuàng)建語(yǔ)句中，都沒(méi)有賦予超級(jí)用戶、創(chuàng)建數(shù)據(jù)庫(kù)等權(quán)限。

操作數(shù)據(jù)庫(kù)對(duì)象權(quán)限

只能把數(shù)據(jù)庫(kù)對(duì)象的操作權(quán)限賦予沒(méi)有登錄權(quán)限的角色，而不能直接賦予擁有登錄權(quán)限的用戶。

那么這樣就帶來(lái)一個(gè)問(wèn)題，怎么樣控制登錄用戶操作數(shù)據(jù)庫(kù)對(duì)象的權(quán)限呢？

答案是讓用戶成為角色的成員，此時(shí)用戶即可擁有角色的權(quán)限，進(jìn)一步限制了登錄用戶操作數(shù)據(jù)庫(kù)對(duì)象的權(quán)限。

如把上述角色group賦予guest用戶：

GRANT "group" TO guest;

之后，guest用戶就擁有了group角色所擁有的數(shù)據(jù)庫(kù)對(duì)象權(quán)限。

比如控制group角色只能對(duì)class表執(zhí)行Insert操作：

GRANT INSERT ON TABLE class TO "group";

此時(shí)使用guest用戶登錄數(shù)據(jù)后，就只能對(duì)表class執(zhí)行insert操作，無(wú)法執(zhí)行delete、update等操作。

示例代碼如下，使用guest用戶登錄，訪問(wèn)TEST數(shù)據(jù)庫(kù)下的class表。

Server [localhost]:
Database [postgres]:
Port [5433]:
Username [postgres]: guest
用戶 guest 的口令：
psql (9.4.5)
輸入 "help" 來(lái)獲取幫助信息.
postgres=> \c TEST
您現(xiàn)在已經(jīng)連線到數(shù)據(jù)庫(kù) "TEST",用戶 "guest".
TEST=> select * from class;
ERROR: permission denied for relation class
TEST=> insert into class values(2,'class1');
INSERT 0 1

從上述結(jié)果中可以看到，guest用戶沒(méi)有權(quán)限查詢class表，但是可以插入數(shù)據(jù)庫(kù)。原因就是只對(duì)group角色賦予了class表的insert權(quán)限，然后guest用戶也就只有class表的insert權(quán)限。

前面說(shuō)到PG的權(quán)限管理可以細(xì)化到表的某個(gè)字段，現(xiàn)在繼續(xù)用class表和guest用戶做實(shí)驗(yàn)。

TEST=> \c postgres postgres;
您現(xiàn)在已經(jīng)連線到數(shù)據(jù)庫(kù) "postgres",用戶 "postgres".
postgres=# \c TEST;
您現(xiàn)在已經(jīng)連線到數(shù)據(jù)庫(kù) "TEST",用戶 "postgres".
TEST=# grant select(num) on class to "group";
GRANT
TEST=# \echo 切換到postgres用戶連接TEST數(shù)據(jù)庫(kù)，對(duì)class表的num字段的select權(quán)限賦予group角色
切換到postgres用戶連接TEST數(shù)據(jù)庫(kù)，對(duì)class表的num字段的select權(quán)限賦予group角色
TEST=# \c TEST guest
用戶 guest 的口令：
您現(xiàn)在已經(jīng)連線到數(shù)據(jù)庫(kù) "TEST",用戶 "guest".
TEST=> \echo 切換回guest用戶登錄TEST數(shù)據(jù)庫(kù)
切換回guest用戶登錄TEST數(shù)據(jù)庫(kù)
TEST=> select * from class;
ERROR: permission denied for relation class
TEST=> select num from class;
 num
-----
  1
  2
(2 行記錄)

從上述結(jié)果中可以看到，guest用戶依然沒(méi)有查詢class表的權(quán)限，但是卻有了查詢class表里的num字段的權(quán)限。

在PG數(shù)據(jù)庫(kù)中不單單可以控制操作表的權(quán)限，其他數(shù)據(jù)庫(kù)對(duì)象，比如序列、函數(shù)、視圖等都可以控制。

所以PG的權(quán)限控制功能非常強(qiáng)大。

補(bǔ)充：Postgres用戶對(duì)數(shù)據(jù)庫(kù)的權(quán)限

用戶對(duì)數(shù)據(jù)庫(kù)的權(quán)限（登錄、超級(jí)用戶權(quán)限）

（1）查看當(dāng)前數(shù)據(jù)庫(kù)中有用戶highgo和用戶a

highgo=#\du
               List of roles
 Role name |          Attributes          | Member of
-----------+------------------------------------------------+-----------
 a     |                        | {}
 highgo  | Superuser, Create role, Create DB, Replication | {}

（2）查看確認(rèn)當(dāng)前連接的用戶為超級(jí)用戶highgo，且該用戶后創(chuàng)建角色和數(shù)據(jù)庫(kù)的權(quán)限等

highgo=#select current_user;
 current_user
--------------
 highgo
(1row)

（3）查看當(dāng)前集群中的數(shù)據(jù)庫(kù)

highgo=#\l
               List of databases
  Name  | Owner | Encoding | Collate |  Ctype  | Access privileges
-----------+--------+----------+------------+------------+-------------------
 highgo  | highgo | UTF8   | zh_CN.utf8 |zh_CN.utf8 |
 template0 | highgo | UTF8   | zh_CN.utf8 | zh_CN.utf8 | =c/highgo    +
      |    |     |      |      | highgo=CTc/highgo
 template1 | highgo | UTF8   | zh_CN.utf8 | zh_CN.utf8 | =c/highgo    +
      |    |     |      |      | highgo=CTc/highgo
(3rows)

（4）使用普通用戶a連接數(shù)據(jù)庫(kù)正常

highgo=#\c highgo a
Youare now connected to database "highgo" as user "a".
highgo=>select current_user;
 current_user
--------------
 a
(1row)
（5）使用超級(jí)用戶highgo連接數(shù)據(jù)庫(kù)正常
highgo=>\c highgo highgo
Youare now connected to database "highgo" as user "highgo".
highgo=#select current_user;
 current_user
--------------
 highgo
(1row)

（6）在超級(jí)用戶連接highgo后，設(shè)置不允許普通用戶a連接數(shù)據(jù)庫(kù)

highgo=#alter role a nologin;
ALTER ROLE
highgo=#\c highgo a
致命錯(cuò)誤: 不允許角色"a" 進(jìn)行登錄
Previousconnection kept
highgo=#

（7）在超級(jí)用戶連接highgo后，設(shè)置不允許普通用戶a連接數(shù)據(jù)庫(kù)后，賦予用戶a超級(jí)用戶權(quán)限后仍然無(wú)法連接數(shù)據(jù)庫(kù)

highgo=#alter role a superuser;
ALTERROLE
highgo=#\du
               List of roles
 Role name |          Attributes          | Member of
-----------+------------------------------------------------+-----------
 a    | Superuser, Cannot login            | {}
 highgo  | Superuser, Create role, Create DB, Replication | {}
 
highgo=#\c highgo a
致命錯(cuò)誤: 不允許角色"a" 進(jìn)行登錄
Previousconnection kept

（8）將登錄數(shù)據(jù)庫(kù)的權(quán)限賦予用戶a后，用戶a可登錄數(shù)據(jù)庫(kù)

highgo=#alter role a login;
ALTERROLE
highgo=#\c highgo a
Youare now connected to database "highgo" as user "a".
highgo=#select current_user;
 current_user
--------------
 a
(1row)

上述就是小編為大家分享的如何使用Postgresql 數(shù)據(jù)庫(kù)權(quán)限功能了，如果剛好有類似的疑惑，不妨參照上述分析進(jìn)行理解。如果想知道更多相關(guān)知識(shí)，歡迎關(guān)注億速云行業(yè)資訊頻道。