如何为PostgreSQL角色migration_assistant仅授予指定DDL权限？

以下针对主流关系型数据库（PostgreSQL、MySQL）分别给出具体实现步骤：

PostgreSQL 操作步骤 #

1. 确认角色存在，若不存在则创建：

   CREATE ROLE migration_assistant WITH LOGIN PASSWORD 'your_secure_password';
   

   （注：若该角色仅用于后台操作无需登录，可去掉WITH LOGIN）

2. 授予目标Schema的基础访问权限：

   GRANT USAGE ON SCHEMA your_target_schema TO migration_assistant;
   

3. 授予创建表的权限：

   GRANT CREATE ON SCHEMA your_target_schema TO migration_assistant;
   

4. 授予修改现有表的权限，并设置未来新增表的默认权限：
   -- 为已存在的表授权

   GRANT ALTER ON ALL TABLES IN SCHEMA your_target_schema TO migration_assistant;
   

   -- 让未来创建的表自动拥有ALTER权限

   ALTER DEFAULT PRIVILEGES IN SCHEMA your_target_schema GRANT ALTER ON TABLES TO migration_assistant;
   

5. 权限说明：

   • 上述操作仅授予了CREATE（建表）、ALTER（改表）权限，默认无DROP TABLE（删表）、DROP DATABASE（删库）权限，无需额外回收。
   • 若该角色之前被授予过更高权限（如ALL PRIVILEGES），需先执行回收：

     REVOKE ALL PRIVILEGES ON SCHEMA your_target_schema FROM migration_assistant;
     

MySQL 操作步骤 #

1. 若用户不存在则创建：

   CREATE USER 'migration_assistant'@'localhost' IDENTIFIED BY 'your_secure_password';
   

   （注：根据实际访问场景替换localhost为允许的主机IP或%）

2. 授予目标数据库的CREATE、ALTER权限：

   GRANT CREATE, ALTER ON your_target_database.* TO 'migration_assistant'@'localhost';
   

3. 刷新权限生效：

   FLUSH PRIVILEGES;
   

4. 权限说明：

   • 仅授予CREATE、ALTER权限的情况下，用户无法执行DROP TABLE、DROP DATABASE操作，因为这些需要DROP权限，未被授予。
   • 若之前有过度授权，先回收：

     REVOKE ALL PRIVILEGES ON your_target_database.* FROM 'migration_assistant'@'localhost';
     

通用注意事项 #

• 务必将your_target_schema/your_target_database、your_secure_password替换为实际业务对应的名称和安全密码。
• 遵循最小权限原则，仅授予完成工作所需的必要权限，降低风险。

内容的提问来源于stack exchange，提问作者robkuz