SQL函数用CTE插入帖子触发RLS策略报错，如何解决？

问题根源 #

你遇到的RLS报错，核心原因是SQL函数的CTE执行逻辑与RLS策略的校验时机冲突：

• 当CTE中执行insert_tags的插入操作时，tags表的WITH CHECK策略需要验证pid对应的帖子属于当前用户。如果posts表开启了RLS但未配置对应的SELECT策略，此时策略中的EXISTS查询会被RLS过滤，无法看到同一事务中刚插入的帖子记录，导致校验失败。
• 而PL/pgSQL函数能正常运行，是因为它是逐语句执行：先完成帖子插入（事务内可见），再执行标签插入时，EXISTS查询能直接读取到这条已插入的帖子，顺利通过RLS校验。

另外注意：你的原函数中unnest(insert_post.tags)是错误写法，应改为unnest(tags)直接引用函数参数，否则会导致标签数组无法正确解析。

解决办法 #

方法1：给posts表添加RLS SELECT策略 #

允许认证用户查看自己发布的帖子，确保tags的插入策略能查询到刚创建的帖子：

CREATE POLICY "rls_posts_read_own" 
  ON posts 
  FOR SELECT 
  TO "authenticated" 
  USING (author = auth.uid());

方法2：优化tags的插入策略逻辑 #

利用posts表author默认值为auth.uid()的特性，简化校验逻辑（本质与原策略一致，但减少查询开销），同时确保posts表的RLS允许查询：

DROP POLICY "rls_tags_create_authenticated_own_posts" ON tags;

CREATE POLICY "rls_tags_create_authenticated_own_posts"
  ON tags 
  FOR INSERT 
  TO "authenticated"
  WITH CHECK (
    (SELECT author FROM posts WHERE id = pid) = auth.uid()
  );

方法3：调整函数执行上下文（谨慎使用） #

如果上述方法不适用，可以将函数设置为SECURITY DEFINER（以函数拥有者权限执行），但必须严格控制权限避免安全风险：

CREATE OR REPLACE FUNCTION insert_post(
  title text,
  content text,
  tags text[]
)
RETURNS SETOF posts
LANGUAGE sql
SECURITY DEFINER
SET search_path = public -- 限制搜索路径，防止注入风险
AS $$
  WITH new_post AS (
    INSERT INTO posts (title, content)
    VALUES (title, content)
    RETURNING *
  ),
  insert_tags AS (
    INSERT INTO tags (name, pid)
    SELECT unnest(tags), id FROM new_post
  )
  SELECT * FROM new_post;
$$;

-- 仅允许认证用户调用该函数
REVOKE ALL ON FUNCTION insert_post(text, text, text[]) FROM PUBLIC;
GRANT EXECUTE ON FUNCTION insert_post(text, text, text[]) TO "authenticated";

内容的提问来源于stack exchange，提问作者Jonathan