如何在PostgreSQL中临时跳过RLS检查且不损失性能？

针对你当前用OR check_cond()导致全表扫描的问题，以下几个方案可以在满足临时绕过RLS需求的同时，保持查询性能：

方案1：用SET LOCAL临时禁用RLS（最简单直接） #

PostgreSQL允许用SET LOCAL在当前事务/函数调用范围内临时关闭行级安全，这个设置会在事务结束后自动恢复，不需要手动重新启用。

实现代码 #

CREATE OR REPLACE FUNCTION your_function_name() RETURNS void AS $$
BEGIN
    -- 执行statement 1
    -- 执行statement 2

    IF some_condition THEN
        -- 临时禁用当前会话的RLS（仅在当前事务内有效）
        SET LOCAL row_security = off;
        -- 执行需要绕过RLS的statement 3（比如删除行）
        DELETE FROM your_table WHERE <你的删除条件>;
        -- 无需手动恢复RLS，事务结束后自动回到原有状态
    ELSE
        -- 正常执行statement 3，受RLS策略限制
        DELETE FROM your_table WHERE <你的删除条件>;
    END IF;
END;
$$ LANGUAGE plpgsql SECURITY DEFINER
-- 必须设置search_path避免SQL注入风险
SET search_path = public;

-- 仅授予必要用户函数执行权限
GRANT EXECUTE ON FUNCTION your_function_name() TO your_user;

注意事项 #

• 这个函数需要用SECURITY DEFINER创建，并且函数的所有者需要是目标表的所有者（或者拥有BYPASSRLS权限），否则无法执行SET LOCAL row_security = off。
• 如果你的表设置了FORCE ROW LEVEL SECURITY（强制所有者也受RLS限制），这个方案依然有效，因为SET LOCAL会直接覆盖该设置。

方案2：会话级变量动态控制策略条件（无额外权限要求） #

这个方案通过自定义会话变量让RLS策略可以静态评估条件，PostgreSQL规划器能在预规划阶段识别变量值，避免全表扫描。

步骤1：修改RLS策略 #

给你的SELECT/DELETE策略添加会话变量的判断条件：

-- 修改SELECT策略
ALTER POLICY your_select_policy ON your_table FOR SELECT USING (
    <原有的RLS条件> 
    OR current_setting('your_app.bypass_rls', true) = 'true'
);

-- 修改DELETE策略（如果需要绕过删除限制）
ALTER POLICY your_delete_policy ON your_table FOR DELETE USING (
    <原有的RLS条件> 
    OR current_setting('your_app.bypass_rls', true) = 'true'
);

步骤2：在函数中动态设置变量 #

CREATE OR REPLACE FUNCTION your_function_name() RETURNS void AS $$
BEGIN
    -- 执行statement 1
    -- 执行statement 2

    IF some_condition THEN
        -- 设置会话变量，仅当前事务有效
        SET LOCAL your_app.bypass_rls = 'true';
        -- 执行statement 3，此时策略会自动绕过原有条件
        DELETE FROM your_table WHERE <你的删除条件>;
    ELSE
        -- 正常执行statement 3，受原RLS策略限制
        DELETE FROM your_table WHERE <你的删除条件>;
    END IF;
END;
$$ LANGUAGE plpgsql;

优势 #

• 不需要额外的BYPASSRLS权限或SECURITY DEFINER，普通用户即可执行。
• 规划器能在预规划阶段确定current_setting的值（因为是事务级变量），所以会生成正常的查询计划（比如使用索引），不会触发全表扫描。

方案3：用SECURITY DEFINER函数封装绕过操作（最小权限原则） #

如果需要更细粒度的权限控制（比如只允许特定操作绕过RLS），可以创建专门的SECURITY DEFINER函数来执行需要绕过RLS的语句，避免给用户全局的RLS绕过权限。

实现代码 #

首先创建封装绕过操作的函数：

-- 注意：尽量用参数化查询避免SQL注入，这里以删除特定ID为例
CREATE OR REPLACE FUNCTION delete_row_bypassing_rls(p_row_id integer) RETURNS void AS $$
BEGIN
    -- 函数以表所有者身份执行，不受RLS限制
    DELETE FROM your_table WHERE id = p_row_id;
END;
$$ LANGUAGE plpgsql SECURITY DEFINER
SET search_path = public;

-- 仅授予需要执行该操作的用户权限
GRANT EXECUTE ON FUNCTION delete_row_bypassing_rls(integer) TO your_user;

然后在主函数中调用：

CREATE OR REPLACE FUNCTION your_function_name() RETURNS void AS $$
BEGIN
    -- 执行statement 1
    -- 执行statement 2

    IF some_condition THEN
        -- 调用绕过RLS的函数
        PERFORM delete_row_bypassing_rls(<目标行ID>);
    ELSE
        -- 正常执行statement 3
        DELETE FROM your_table WHERE id = <目标行ID>;
    END IF;
END;
$$ LANGUAGE plpgsql;

优势 #

• 权限控制更严格：用户只能通过指定函数执行绕过操作，无法随意绕过其他RLS限制。
• 避免了全局设置RLS开关的风险，安全性更高。

方案对比与选择 #

内容的提问来源于stack exchange，提问作者Pyrocks