ClickHouse代理如何解析含*的复杂查询以校验列权限？

针对你开发ClickHouse代理时，需要展开复杂SQL中*以进行权限校验的需求，结合你正在使用的sqlglot，提供以下实用方案：

方案1：借助ClickHouse的EXPLAIN SYNTAX获取展开后的完整SQL #

ClickHouse内置的EXPLAIN SYNTAX命令会将SQL中的所有语法缩写（包括*）、语法糖展开为标准的全量列查询，完美支持关联查询、子查询、CTE等复杂场景。具体操作步骤：

1. 将用户提交的原始SQL包装为EXPLAIN SYNTAX <原始SQL>格式，发送至ClickHouse；
2. 解析ClickHouse返回的结果，得到完全展开的SQL（例如SELECT t1.id, t1.name, t2.age FROM t1 JOIN t2 ON t1.id = t2.id）；
3. 使用sqlglot解析该展开后的SQL的AST，提取所有查询列，再执行你的权限校验逻辑。

优势：完全复用ClickHouse官方的SQL解析优化逻辑，无需自行处理复杂关联、子查询的元数据映射，准确性最高；
劣势：需要额外发起一次ClickHouse请求，会增加少量处理延迟。

方案2：基于sqlglot+ClickHouse元数据手动实现*展开 #

如果希望避免额外的ClickHouse请求，可以通过sqlglot解析AST，结合ClickHouse系统表的元数据手动完成*展开：

1. 用sqlglot解析原始SQL的AST，遍历找到所有对应*的Star节点；
2. 针对每个Star节点，确定其所属的数据源（表、视图、子查询等）：
   • 对于直接引用的表，查询system.columns系统表获取该表的所有列，将*替换为表名.列1, 表名.列2, ...；
   • 对于关联查询中的限定*（如t1.*），直接查询对应表的列并添加别名前缀；
   • 对于子查询或CTE中的*，递归解析子查询的AST，先完成内部*的展开，再处理外层查询；
3. 重新生成展开后的SQL，再通过sqlglot提取列信息进行权限校验。

注意：需要处理表别名、视图展开、子查询别名映射等边界情况，sqlglot的AST API提供了节点上下文信息的获取能力，可以辅助完成这些逻辑。

优势：无需额外的ClickHouse请求，处理延迟更低；
劣势：需要自行实现复杂场景的元数据关联逻辑，维护成本较高。

补充方案：利用ClickHouse原生权限系统简化校验 #

如果你的权限规则可以与ClickHouse原生权限系统兼容，可直接借助其列级权限、行级策略（Row Policy）实现访问控制，无需自行处理*展开：

• 为用户或角色配置指定表的列访问权限后，ClickHouse会自动拦截用户对未授权列的访问，即使使用*查询；
• 该方案仅适用于权限规则可完全在ClickHouse中配置的场景，若需要在代理层实现跨系统联动等自定义校验，仍需使用前两个方案。

内容的提问来源于stack exchange，提问作者slesh