PostgreSQL创建仅执行指定函数/存储过程的用户遇权限问题求助

核心原因 #

你的函数LoadEmails()默认以**调用者权限（SECURITY INVOKER，PostgreSQL默认行为）**执行，当userdb调用该函数时，会以userdb的身份访问emails表，但你已撤销userdb对该表的所有权限，因此触发权限拒绝错误。

解决方案一：使用SECURITY DEFINER（推荐，符合最小权限原则） #

修改函数，使其以创建者身份执行，无需给userdb直接授予表权限：

CREATE OR REPLACE FUNCTION LoadEmails()
RETURNS setof text AS $$
BEGIN
  RETURN QUERY SELECT email FROM emails;
END
$$ LANGUAGE plpgsql SECURITY DEFINER;

-- 可选：设置函数搜索路径，降低安全风险
ALTER FUNCTION LoadEmails() SET search_path = public;

确保函数创建者拥有emails表的访问权限，userdb仅保留函数执行权限即可。

注意：使用SECURITY DEFINER时，避免在函数中使用动态SQL或不可信输入，防止权限提升风险。

解决方案二：授予用户表的必要权限（不推荐，扩大权限范围） #

若不想修改函数，可给userdb授予emails表的SELECT权限：

GRANT SELECT ON TABLE emails TO userdb;

但此方法会让userdb直接查询表，违背了你仅允许通过函数操作数据的初衷。

验证步骤 #

1. 执行修改后的函数创建语句
2. 用userdb账号连接数据库，调用LoadEmails()函数，确认权限错误消失

内容的提问来源于stack exchange，提问作者DP.