如何为Data表实现基于用户部门权限的SQL行级安全（RLS）策略？

我有两个数据库表，结构如下：

Data表 #

Users表 #

权限规则如下：

• 经理yyy可访问部门1和2的所有数据行
• 经理xxx可访问部门2的数据行
• 经理zzz可访问部门3的数据行

我已经写出了一条能正确验证权限的SELECT语句，但希望将逻辑实现为行级安全（RLS）策略，之前尝试构建函数和安全策略都没成功：

select * 
from Data as D
join Users as U on U.department = D.department
where U.manager = USER_NAME()

请求帮忙实现对应的RLS策略。

1. 启用Data表的行级安全 #

首先开启Data表的RLS功能：

ALTER TABLE Data ENABLE ROW LEVEL SECURITY;

2. 创建访问控制策略 #

直接基于你的验证逻辑创建SELECT策略，不需要额外函数，逻辑和你写的查询一致：

CREATE POLICY Data_Manager_Department_Access ON Data
FOR SELECT TO public -- 可根据实际需求替换为指定角色组
USING (
    EXISTS (
        SELECT 1
        FROM Users U
        WHERE U.Department = Data.Department
          AND U.Manager = CURRENT_USER -- 和USER_NAME()等价，PostgreSQL中更常用CURRENT_USER
    )
);

3. 验证策略效果 #

切换到对应经理角色测试：

-- 切换到yyy用户
SET ROLE yyy;
SELECT * FROM Data; -- 预期返回部门1、2的所有行

-- 切换到xxx用户
SET ROLE xxx;
SELECT * FROM Data; -- 预期仅返回部门2的行

-- 切换到zzz用户
SET ROLE zzz;
SELECT * FROM Data; -- 预期返回空（Data表无部门3数据）

注意事项 #

• 如果需要支持INSERT/UPDATE/DELETE操作，可以为对应动作创建策略，逻辑类似，比如插入时检查目标部门是否在当前用户的权限范围内。
• 确保经理用户拥有Users表的SELECT权限，否则策略会失效，可执行以下语句授权：

GRANT SELECT ON Users TO public; -- 或给具体角色单独授权

内容的提问来源于stack exchange，提问作者Brian Møller