Firebird数据库执行存储过程sp_get_itexport_tags无权限问题咨询

操作背景 #

我按照Firebird官方手册规范执行了以下操作：

• 创建角色：CREATE ROLE reader;
• 创建用户：CREATE USER voron PASSWORD 'somepassword';
• 授予权限：

  GRANT SELECT ON exportit TO PROCEDURE sp_get_itexport_tags;
  GRANT EXECUTE ON PROCEDURE sp_get_itexport_tags TO ROLE reader;
  GRANT reader TO USER voron;
  

尝试给PUBLIC用户授予权限后，仍触发报错：

no permission to EXECUTE access to PROCEDURE sp_get_itexport_tags. Effective user is VORON

所有权限操作均以SYSDBA身份执行，使用用户voron的密码登录后触发该报错。

问题根源及解决办法 #

1. 角色未在会话中启用 #

Firebird中，用户被授予角色后不会自动启用该角色，必须显式指定才能让权限生效：

• 登录时指定角色：在数据库连接配置中添加Role=reader参数（不同客户端的配置位置不同，比如DBeaver在连接属性的「角色」字段填写，命令行工具可通过-role reader参数指定）
• 登录后启用角色：执行SQL语句 SET ROLE reader;

2. 检查存储过程的安全上下文 #

如果存储过程是使用SQL SECURITY INVOKER创建（默认是SQL SECURITY DEFINER），执行时会使用当前登录用户（voron）的权限访问exportit表，此时仅给存储过程授权SELECT是不够的，需要直接给角色reader授予exportit表的SELECT权限：

GRANT SELECT ON exportit TO ROLE reader;

如果是默认的DEFINER模式，你当前给存储过程授权SELECT的操作是正确的，无需额外调整。

3. 验证权限配置的正确性 #

• 确认存储过程sp_get_itexport_tags的所有者是有权限的用户（比如SYSDBA）
• 检查角色、用户、对象名的大小写：如果创建时使用了双引号区分大小写，授权和使用时必须保持一致（Firebird默认对未加双引号的对象名不区分大小写）

内容的提问来源于stack exchange，提问作者Anthony Voronkov