如何在不给PostgreSQL表权限的情况下为函数授予EXECUTE权限？

这不是PostgreSQL的限制，而是默认权限检查机制导致的：默认情况下，函数执行时会沿用调用者（即user1）的权限访问依赖对象（比如my_table），所以user1没有my_table的权限就会报错。PostgreSQL 15.x提供了成熟的解决办法，核心是让函数以创建者权限运行而非调用者权限，具体方案如下：

1. 使用SECURITY DEFINER属性创建函数 #

这是最直接的解决方案。给函数添加SECURITY DEFINER属性后，函数执行时会以函数创建者的权限访问my_table，无需给user1直接授予表权限。

操作步骤： #

• 修改函数定义，添加SECURITY DEFINER：

CREATE OR REPLACE FUNCTION my_function()
RETURNS void -- 根据你的实际返回类型调整
LANGUAGE plpgsql
SECURITY DEFINER
AS $$
BEGIN
  -- 你的增删改查逻辑示例
  INSERT INTO my_table (col1) VALUES ('test_data');
  SELECT * FROM my_table WHERE col2 = 'filter';
END;
$$;

• 关键安全配置：设置函数的search_path，避免恶意路径劫持（防止执行非预期的函数/对象）：

ALTER FUNCTION my_function() SET search_path = public; -- 替换为你的实际schema

• 确认函数创建者拥有my_table的必要权限（增删改查），同时仅给user1授予函数的EXECUTE权限：

GRANT EXECUTE ON FUNCTION my_function() TO user1;

2. 结合行级安全（RLS）实现精细访问控制（可选） #

如果需要进一步限制user1通过函数能操作的数据范围（比如仅能访问自己的行），可以搭配行级安全策略：

• 开启表的行级安全：

ALTER TABLE my_table ENABLE ROW LEVEL SECURITY;

• 创建针对user1的访问策略（示例：仅允许操作属于user1的行）：

CREATE POLICY my_table_user1_policy ON my_table
FOR ALL
TO user1
USING (owner_id = current_user::text) -- 行过滤条件
WITH CHECK (owner_id = current_user::text); -- 插入/更新时的校验条件

注：这种方式如果单独使用，需要给user1授予表的对应权限；如果和SECURITY DEFINER结合，则无需直接授权表权限，可在函数逻辑中结合RLS规则实现更精细的控制。

重要注意事项 #

• 尽量用最小权限的专用用户创建SECURITY DEFINER函数，避免使用超级用户，降低安全风险。
• 必须设置search_path，这是SECURITY DEFINER函数的标准安全实践，防止SQL注入或恶意对象调用。

内容的提问来源于stack exchange，提问作者Sreedharan Surendran