PostgreSQL行级安全（RLS）无法优化查询的问题咨询

问题核心 #

启用PostgreSQL行级安全（RLS）后，即便RLS策略中的条件是全局常量或仅需执行一次的静态判断，查询优化器也无法像无RLS场景那样将其提取为One-Time Filter（一次性过滤），而是会对表中每一行重复计算该条件，导致查询性能下降，大数据表场景下影响尤为明显。

基础案例演示 #

环境准备代码 #

begin transaction;
    -- 创建演示表
    create table entries (id int primary key);

    -- 配置RLS
    alter table entries enable row level security;
    create policy entries_policy on entries for all using (
        current_setting('app.can_read_entries')::boolean = true
    );

    -- 创建受RLS限制的角色
    create role authenticated;
    grant usage on schema public to authenticated;
    grant select on all tables in schema public to authenticated;

    -- 设置测试参数
    set local app.can_read_entries = true;
rollback;

无RLS场景执行计划 #

手动将RLS条件作为查询过滤条件执行：

explain
select * from entries
where (
    current_setting('app.can_read_entries')::boolean = true
);

执行计划：

Result  (cost=0.01..35.51 rows=2550 width=4)
  One-Time Filter: (current_setting('app.can_read_entries'::text))::boolean
  ->  Seq Scan on entries  (cost=0.01..35.51 rows=2550 width=4)

优化器识别到条件为查询级静态值，仅执行一次条件检查后再扫描表，避免了逐行计算。

启用RLS场景执行计划 #

切换到受RLS限制的角色执行查询：

set local role 'authenticated';

explain
select * from entries;

执行计划：

Seq Scan on entries  (cost=0.00..54.63 rows=1275 width=4)
  Filter: (current_setting('app.can_read_entries'::text))::boolean

优化器未将RLS中的静态条件提取为一次性过滤，而是对每一行重复执行条件判断。

补充案例（非current_setting函数场景） #

环境调整代码 #

-- 创建辅助表
create table users (id int primary key);
-- 修改RLS策略为exists子查询
create policy entries_policy on entries for all using (
    exists (select 1 from users where id = 1)
);

无RLS场景执行计划 #

手动添加条件后的查询计划：

Result  (cost=8.17..43.67 rows=2550 width=4)
  One-Time Filter: $0
  InitPlan 1 (returns $0)
    ->  Index Only Scan using users_pkey on users  (cost=0.15..8.17 rows=1 width=0)
          Index Cond: (id = 1)
  ->  Seq Scan on entries  (cost=8.17..43.67 rows=2550 width=4)

优化器先执行一次exists子查询获取结果，再根据结果决定是否扫描主表，实现了提前过滤。

启用RLS场景执行计划 #

切换角色后的查询计划：

Seq Scan on entries  (cost=8.17..43.67 rows=1275 width=4)
  Filter: $0
  InitPlan 1 (returns $0)
    ->  Index Only Scan using users_pkey on users  (cost=0.15..8.17 rows=1 width=0)
          Index Cond: (id = 1)

优化器未将exists子查询结果作为一次性过滤条件，仍逐行应用该判断，无法提前终止无效的表扫描。

已尝试的无效方案 #

曾尝试为current_setting函数设置leakproof属性，甚至直接更新pg_proc表将所有函数标记为proleakproof = true，但RLS场景下的查询优化问题仍未解决。

内容的提问来源于stack exchange，提问作者olee