PostgreSQL逻辑复制列列表安全咨询：未发布列泄露与防护

一、恶意订阅者如何获取未发布列的数据？ #

PostgreSQL的逻辑复制列列表本质是在发布端生成变更数据时过滤列，但存在以下几种被恶意订阅者利用的途径：

• 自定义逻辑解码插件绕过过滤：如果订阅者在发布服务器上拥有创建插件的权限，可部署自定义逻辑解码插件，直接从WAL日志中提取所有列数据，完全无视发布的列过滤规则，通过订阅通道获取全量数据。
• 直接访问发布端数据库：若订阅者的角色在发布端拥有源表的SELECT权限，无需通过复制通道，直接连接发布端数据库就能查询未发布的敏感列。
• 通过已发布数据推断敏感信息：如果未发布列与已发布列存在业务关联（比如敏感列是已发布列的计算值、关联属性），恶意订阅者可通过已发布列的变更规律反向推导未发布列的内容。
• 窃取WAL日志文件：若订阅者能接触到发布服务器的WAL文件（比如文件权限漏洞、备份泄露），可使用pg_waldump工具或自定义程序解析WAL，提取所有列的原始数据，绕过复制过滤。

二、发布端可采取的防护措施 #

针对上述风险，发布端需从权限、数据隔离、加密等多维度构建防护：

• 最小权限原则管控
  • 仅授予订阅者角色对发布对象的USAGE权限，禁止授予SELECT、CREATE EXTENSION（创建插件）、pg_read_server_files等敏感权限。
  • 通过pg_hba.conf限制订阅者的连接IP范围，强制使用SSL加密连接，防止流量被窃听。
• 使用视图替代表发布
  • 不直接发布含敏感列的表，创建仅包含需发布列的视图，再基于视图创建发布。即使复制过滤被绕过，源表的敏感列也不会进入发布流程。
    示例代码：

  -- 创建仅包含非敏感列的视图
  CREATE VIEW public.public_user_data AS
  SELECT user_id, nick_name, register_date FROM public.user_info;
  -- 基于视图创建发布
  CREATE PUBLICATION user_publication FOR VIEW public.public_user_data;
  

• 敏感数据前置处理
  • 对敏感数据进行脱敏（如手机号掩码、邮箱部分隐藏）或不可逆哈希处理后再发布，即使数据泄露也无法还原原始信息。
  • 启用PostgreSQL透明数据加密（TDE），确保磁盘上的数据库文件和WAL日志均为加密状态，防止物理文件泄露导致数据被盗。
• 监控与审计
  • 开启PostgreSQL的审计日志，监控所有发布/订阅的创建、修改操作，以及对源表的访问行为。
  • 定期复查发布配置、角色权限，及时发现异常变更。
• 网络与环境隔离
  • 将发布端数据库与订阅端置于隔离的网络环境，使用专用复制链路传输数据，避免订阅者直接访问发布端的内部网络资源。

内容的提问来源于stack exchange，提问作者morpen