PostgreSQL内部表行级安全（RLS）不生效问题求助

问题根源 #

你之前的策略无效核心原因有两点：

1. 硬编码ACL字符串不可靠：nspacl的存储格式包含角色OID而非纯角色名，且权限顺序、格式会动态变化，直接用字符串匹配几乎无法命中目标行，等于策略没有过滤任何数据。
2. 系统表的特殊处理：PostgreSQL对系统表的RLS支持有限，不过你的核心问题还是策略条件的逻辑错误。

推荐方案：使用自定义视图替代直接修改系统表 #

直接对pg_namespace启用RLS可能破坏系统功能（如psql的\dn命令），更安全的方式是创建自定义视图，仅暴露用户有权访问的命名空间：

-- 以超级用户postgres登录
-- 彻底回收用户对系统表的直接访问权限
REVOKE ALL ON pg_catalog.pg_namespace FROM utkarsh;
REVOKE ALL ON pg_catalog.pg_namespace FROM public;

-- 创建自定义视图，筛选用户有权限的命名空间
CREATE OR REPLACE VIEW user_visible_namespaces AS
SELECT n.*
FROM pg_catalog.pg_namespace n
WHERE 
  -- 用户是命名空间所有者
  pg_has_role(n.nspowner, CURRENT_USER, 'OWNER')
  -- 或用户拥有该命名空间的USAGE权限
  OR EXISTS (
    SELECT 1 
    FROM pg_catalog.pg_namespace_acl(n.oid, n.nspacl) acl
    WHERE acl.grantee = CURRENT_USER::regrole
      AND acl.privilege = 'USAGE'
  );

-- 授予用户查询视图的权限
GRANT SELECT ON user_visible_namespaces TO utkarsh;

切换至utkarsh角色后，查询user_visible_namespaces即可看到仅有权限的命名空间。

若坚持使用RLS修改系统表 #

如果必须对pg_namespace启用RLS，修正策略条件为基于PostgreSQL内置ACL函数的判断：

-- 以超级用户postgres登录
SET allow_system_table_mods=on;

-- 启用并强制RLS
ALTER TABLE pg_catalog.pg_namespace ENABLE ROW LEVEL SECURITY;
ALTER TABLE pg_catalog.pg_namespace FORCE ROW LEVEL SECURITY;

-- 仅授予必要的SELECT权限（无需ALL）
REVOKE ALL ON pg_catalog.pg_namespace FROM public, utkarsh;
GRANT SELECT ON pg_catalog.pg_namespace TO utkarsh;

-- 创建正确的过滤策略
CREATE POLICY ensure_right_namespace ON pg_catalog.pg_namespace
FOR SELECT
USING (
  pg_has_role(nspowner, CURRENT_USER, 'OWNER')
  OR EXISTS (
    SELECT 1
    FROM pg_catalog.pg_namespace_acl(oid, nspacl)
    WHERE grantee = CURRENT_USER::regrole
      AND privilege = 'USAGE'
  )
);

-- 可选：添加修改类操作的策略（仅允许所有者操作）
CREATE POLICY allow_namespace_modify ON pg_catalog.pg_namespace
FOR UPDATE, DELETE, INSERT
USING (
  pg_has_role(nspowner, CURRENT_USER, 'OWNER')
);

切换至utkarsh角色后查询pg_catalog.pg_namespace，即可看到仅符合条件的行。

注意事项 #

• 对系统表启用RLS可能导致部分系统工具（如psql元命令、pgAdmin）功能异常，需谨慎测试。
• 避免硬编码任何系统表的存储格式，始终使用PostgreSQL提供的内置函数（如pg_has_role、pg_namespace_acl）处理权限判断。

内容的提问来源于stack exchange，提问作者utalmighty