如何授予查看Snowflake存储过程DDL权限而不赋予执行权限

Snowflake的原生权限体系里，USAGE权限确实同时绑定了存储过程的DDL查看和执行权限，没有内置的单独权限来拆分这两个操作，这是产品本身的设计逻辑。针对生产环境的合规需求，以下是几种实用方案：

• 优化版工具类存储过程
  你提到的工具SP并非权宜之计，而是Snowflake生态中常用的合规解决方案。可以创建一个以高权限角色（如SECURITYADMIN或目标存储过程的所有者）身份执行的存储过程，专门返回指定SP的DDL，仅给开发人员授予该工具SP的USAGE和EXECUTE权限即可。示例代码：

  CREATE OR REPLACE PROCEDURE GET_SP_DDL(P_SP_NAME VARCHAR)
  RETURNS VARCHAR
  LANGUAGE SQL
  SECURITY DEFINER
  AS
  $$
  BEGIN
      -- 可添加schema校验逻辑，限制仅允许访问指定范围的存储过程
      IF NOT EXISTS (SELECT 1 FROM INFORMATION_SCHEMA.PROCEDURES WHERE CONCAT_WS('.', PROCEDURE_SCHEMA, PROCEDURE_NAME) = P_SP_NAME) THEN
          RETURN '指定存储过程不存在';
      END IF;
      RETURN GET_DDL('PROCEDURE', P_SP_NAME);
  END;
  $$;
  
  -- 给开发角色授权工具存储过程的执行权限
  GRANT USAGE, EXECUTE ON PROCEDURE GET_SP_DDL(VARCHAR) TO ROLE DEV_ROLE;
  

  建议添加输入范围校验和调用日志，避免权限滥用。

• SECURITY DEFINER视图方案
  相比存储过程，视图方案更符合开发人员的查询习惯，操作更轻量。用拥有目标存储过程全部权限的角色创建一个安全定义视图，仅暴露存储过程名称和DDL字段，再给开发角色授予视图的SELECT权限即可。示例：

  -- 使用高权限角色（如PROD_ADMIN）创建视图
  CREATE OR REPLACE VIEW PROD_SP_DDLS
  SECURITY DEFINER
  AS
  SELECT 
      CONCAT_WS('.', PROCEDURE_SCHEMA, PROCEDURE_NAME) AS SP_FULL_NAME,
      GET_DDL('PROCEDURE', CONCAT_WS('.', PROCEDURE_SCHEMA, PROCEDURE_NAME)) AS SP_DDL
  FROM INFORMATION_SCHEMA.PROCEDURES
  WHERE PROCEDURE_SCHEMA IN ('PROD_CORE', 'PROD_UTILS'); -- 限定生产环境的schema范围
  
  -- 给开发角色授权视图查询权限
  GRANT SELECT ON VIEW PROD_SP_DDLS TO ROLE DEV_ROLE;
  

  开发人员直接查询该视图就能获取指定范围的存储过程DDL，完全无法执行目标存储过程。

• 企业级数据治理工具同步
  如果使用Snowflake Enterprise版或有配套的数据治理工具（如内部文档平台、Collibra等），可以定期同步存储过程的DDL到专门的查询/文档平台，开发人员仅需访问该平台查看DDL，无需接触生产环境的任何数据库权限。这种方案适合大型团队，能统一管理元数据访问。

总结：Snowflake没有原生的拆分权限选项，最简洁合规的方案是使用SECURITY DEFINER的视图或工具存储过程，其中视图方案更直观易用。

内容的提问来源于stack exchange，提问作者Vlad Kupchan