如何为PostgreSQL用户分配指定数据库的全部权限并实现服务账号的数据库级隔离？

当然可以实现！PostgreSQL的权限系统足够灵活，完全能满足你这种“服务账号专属数据库，且拥有库内全权限，但隔离其他资源”的需求。我来一步步拆解具体操作：

1. 创建专属的服务登录账号 #

首先给每个服务创建独立的登录角色，确保账号能正常连接数据库：

CREATE ROLE service_app1 LOGIN PASSWORD 'your_secure_password_here';

这里LOGIN属性是必须的，没有它用户连不上数据库。

2. 为服务创建对应数据库，并把用户设为所有者 #

这是实现“库内管理员权限”最省心的方式——数据库所有者默认拥有该库的全部操作权限，包括创建/修改schema、表、索引，管理数据等等，完全符合你说的“admin-like”需求：

CREATE DATABASE app1_db OWNER service_app1;

这样service_app1对app1_db就拥有绝对控制权了。

3. 限制用户只能访问自己的数据库 #

PostgreSQL默认情况下，所有用户都有连接到大部分数据库的权限（比如postgres、template1），所以要做严格隔离的话，得收回默认权限，再单独授权：

• 先收回所有普通用户对公共数据库的连接权限：

REVOKE CONNECT ON DATABASE postgres, template1 FROM PUBLIC;

• 然后只给每个服务用户授予自己数据库的连接权限：

GRANT CONNECT ON DATABASE app1_db TO service_app1;

这样用户就只能连接到自己专属的数据库，碰不到其他库了。

4. 处理默认权限（针对库内新建对象） #

你之前碰到的ALTER DEFAULT PRIVILEGES IN Database xx语法错误，是因为PostgreSQL的这个命令不支持直接指定数据库，它只能针对schema或者角色。要设置某个库的默认权限，你得先连接到目标数据库，再执行命令，比如：

-- 先连接到app1_db，再执行以下命令
ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT ALL ON TABLES TO service_app1;
ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT ALL ON SEQUENCES TO service_app1;
ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT ALL ON FUNCTIONS TO service_app1;

不过如果你已经把用户设为数据库所有者，这一步其实可以省略——所有者默认拥有库内所有对象的权限，包括未来新建的。

额外提醒：验证隔离效果 #

设置完后可以测试一下：用service_app1账号登录，试试访问其他数据库（比如postgres），应该会提示权限不足；在自己的app1_db里创建表、修改结构，应该都能正常执行。

备注：内容来源于stack exchange，提问作者slondr