PostgreSQL行级安全(RLS)：基于UUID的单条数据访问策略配置疑问

核心思路 #

通过会话变量将用户拥有的UUID传递给RLS策略，策略仅允许查询与该UUID匹配的行。如果未设置变量或变量对应的UUID不存在，查询将返回空结果（即被拦截）。

具体实现步骤 #

1. 开启目标表的RLS #

先确保目标表已启用行级安全：

ALTER TABLE your_table_name ENABLE ROW LEVEL SECURITY;

替换your_table_name为你的实际表名

2. 创建RLS访问策略 #

创建SELECT策略，仅放行与会话变量中UUID匹配的行：

CREATE POLICY user_restricted_access ON your_table_name
FOR SELECT
USING (
  id = current_setting('app.allowed_uuid', true)::uuid
);

• current_setting('app.allowed_uuid', true)：获取名为app.allowed_uuid的会话变量，true参数确保变量未设置时返回NULL而非报错
• 未设置变量时，id = NULL永远不成立，查询无数据返回（拦截未指定UUID的请求）
• 变量设置为不存在的UUID时，无匹配行，同样拦截查询

3. 传递用户的UUID给RLS #

用户（或应用）连接数据库后，执行以下语句设置会话变量：

SET app.allowed_uuid = 'existing-uuid';

替换existing-uuid为用户实际拥有的UUID值，通常由应用在用户登录时自动执行此操作

验证效果 #

• 未设置变量时执行SELECT * FROM your_table_name;：返回空结果，符合拦截要求
• 设置无效UUID后执行SELECT * FROM your_table_name WHERE id = 'bad-uuid';：返回空结果
• 设置有效UUID后执行SELECT * FROM your_table_name;或SELECT * FROM your_table_name WHERE id = 'existing-uuid';：返回对应单行数据

额外优化（可选） #

若要避免用户自行修改会话变量，可使用SET LOCAL让变量仅在当前事务生效：

SET LOCAL app.allowed_uuid = 'existing-uuid';

此方式下变量不会持久化到后续会话，安全性更高。

内容的提问来源于stack exchange，提问作者Dan