PostgreSQL行级安全策略：非指定角色插入数据报错原因

问题背景 #

用户创建了存储客户记录的parking.client表：

CREATE TABLE parking.client (
    k_client integer NOT NULL,
    id varchar(12) NOT NULL,
    name varchar(50) NOT NULL,
    last_name varchar(50) NOT NULL,
    email varchar(200) NOT NULL,
    CONSTRAINT client_pk PRIMARY KEY (k_client)
);

随后为该表启用行级安全并定义策略：

ALTER TABLE parking.client ENABLE ROW LEVEL SECURITY;

CREATE POLICY client_pl ON parking.client
    AS PERMISSIVE
    FOR ALL
    TO user_role
    USING (email = CURRENT_USER);

创建manage_account_user角色并授予该表的SELECT、INSERT权限：

CREATE ROLE manage_account_user WITH 
    CREATEROLE
    LOGIN
     PASSWORD 'MyPassword';

GRANT SELECT,INSERT
   ON TABLE parking.client
   TO manage_account_user;

使用manage_account_user执行INSERT操作时，报错：

new row violates row-level security policy for table "client"

原因解析 #

PostgreSQL启用行级安全（RLS）后，默认会拒绝所有未被明确策略允许的操作。你定义的client_pl策略仅针对user_role生效（TO user_role指定了策略的目标角色），而manage_account_user不在该策略的覆盖范围内，因此当这个角色执行INSERT时，没有任何RLS策略允许其操作，最终触发报错。

需要注意的是，PERMISSIVE类型的策略是"允许符合条件的操作"，但它不会改变"无匹配策略则拒绝"的默认规则——只有当当前角色匹配策略的TO子句，且满足USING（或WITH CHECK）条件时，操作才会被允许。

解决方法 #

可以通过以下两种方式解决：

1. 修改现有策略，扩大目标角色范围：将manage_account_user加入策略的目标角色，或者直接移除TO user_role让策略对所有角色生效（需评估安全风险）：

-- 方案1：添加多个目标角色
ALTER POLICY client_pl ON parking.client
    TO user_role, manage_account_user;

-- 方案2：移除TO子句，策略对所有角色生效
ALTER POLICY client_pl ON parking.client
    TO PUBLIC;

2. 为manage_account_user单独创建策略：如果需要为该角色设置独立的权限规则，可新增专属策略：

CREATE POLICY client_manage_pl ON parking.client
    AS PERMISSIVE
    FOR ALL
    TO manage_account_user
    -- 根据需求定义USING/WITH CHECK条件，例如允许该角色插入任意记录
    USING (true)
    WITH CHECK (true);

内容的提问来源于stack exchange，提问作者Smooth Researcher