如何检查PostgreSQL当前用户是否从角色继承BYPASSRLS属性？

要判断当前用户是否需要遵守行级安全性（RLS）规则，需结合表所有者身份、BYPASSRLS属性及角色成员关系（含NOINHERIT角色）综合判断，以下是具体实现方案：

核心判断逻辑 #

只要满足任一条件，RLS对当前用户不生效：

• 当前用户是目标表的所有者；
• 当前用户本身拥有BYPASSRLS属性；
• 当前用户所属的某个角色（含间接成员）拥有BYPASSRLS属性，且该角色要么是可继承的，要么已在当前会话中被激活。

具体查询实现 #

假设目标表为public.target_table，执行以下SQL即可得到结果：

WITH RECURSIVE role_hierarchy AS (
    -- 起始：当前用户自身角色
    SELECT 
        r.oid AS role_oid,
        r.rolname AS role_name,
        r.rolbypassrls AS has_bypassrls,
        r.rolinherit AS is_inheritable,
        ARRAY[r.oid] AS path
    FROM pg_roles r
    WHERE r.rolname = current_user

    UNION ALL

    -- 递归遍历所有上级角色（直接/间接）
    SELECT 
        m.roleid AS role_oid,
        r.rolname AS role_name,
        r.rolbypassrls AS has_bypassrls,
        r.rolinherit AS is_inheritable,
        rh.path || m.roleid AS path
    FROM role_hierarchy rh
    JOIN pg_auth_members m ON m.member = rh.role_oid
    JOIN pg_roles r ON r.oid = m.roleid
    WHERE NOT m.roleid = ANY(rh.path) -- 防止角色循环引用
)
SELECT 
    -- 最终结果：true表示RLS适用于当前用户，false表示不受约束
    NOT (
        -- 条件1：当前用户是表所有者
        EXISTS (
            SELECT 1 
            FROM pg_class c
            JOIN pg_namespace n ON c.relnamespace = n.oid
            WHERE c.relname = 'target_table' 
              AND n.nspname = 'public'
              AND c.relowner = (SELECT oid FROM pg_roles WHERE rolname = current_user)
        )
        OR
        -- 条件2：当前用户或其有效角色拥有BYPASSRLS
        EXISTS (
            SELECT 1 
            FROM role_hierarchy rh
            WHERE rh.has_bypassrls = true
              AND (rh.is_inheritable = true OR rh.role_oid = ANY(current_setting('role')::oid[]))
        )
    ) AS rls_applies_to_current_user;

关键细节说明 #

• 递归角色遍历：通过递归CTE完整梳理当前用户的角色链，不会遗漏任何直接或间接关联的角色，包括带NOINHERIT属性的角色。
• NOINHERIT角色处理：这类角色的权限不会被默认继承，只有当用户在会话中显式执行SET ROLE激活该角色时，才会生效，因此查询中通过current_setting('role')检查当前激活的角色。
• 表所有者校验：直接查询系统表pg_class和pg_namespace获取目标表的所有者信息，确保判断准确。

内容的提问来源于stack exchange，提问作者Bergi