使用CREATE TABLE AS SELECT跨库操作时的权限报错问题咨询

为什么需要数据库b的CREATE TABLE权限？ #

虽然你是在数据库a中创建表，但部分数据库引擎对CREATE TABLE AS SELECT（CTAS）操作的权限校验逻辑比较特殊：它会把跨库CTAS视为涉及源库的关联操作，底层执行时可能会在源库节点生成临时中间数据或进行元数据同步校验，因此要求用户在源库（b库）也具备CREATE TABLE级别的权限——哪怕你根本不会在b库创建永久表。这种设计要么是出于权限校验的统一性，要么是引擎架构上的固有限制，比如分布式数据库会将CTAS的执行计划分发到源库节点，节点需要验证用户在该库的操作权限。

权限受限的解决办法 #

• 拆分操作两步走：绕开CTAS的权限限制，分创建空表和插入数据两步执行：
  1. 先在a库创建和b.tableX结构一致的空表：CREATE TABLE a.table1 LIKE b.tableX;（你已有a库的CREATE TABLE权限，可正常执行）
  2. 再将b.tableX的数据插入到新表：INSERT INTO a.table1 SELECT * FROM b.tableX;（仅需要b库的SELECT权限和a库的INSERT权限，你已满足）
• 申请临时表权限替代：向DBA申请b库的CREATE TEMPORARY TABLE权限（如果数据库支持的话）。很多场景下，CTAS报错要求的CREATE TABLE权限其实是针对临时中间表的，授予临时表权限既能解决问题，又不会让你获得在b库创建永久表的权限，安全性更高。
• 借助第三方账号代理：如果DBA不愿调整权限，可以找拥有b库CREATE TABLE权限的同事帮忙执行CTAS操作，之后将a.table1的读写权限授予你；或者让DBA创建一个仅允许跨库CTAS到a库的专用账号，你用该账号完成操作。

内容的提问来源于stack exchange，提问作者l0k0kr0l