Postgres父角色权限无法委派给子角色的问题求助

问题根源分析 #

你的两次尝试分别存在核心问题：

1. 第一次尝试的隐性拼写错误：
   执行的grant ggс to gg;语句中，ggс的最后一个字符是俄文西里尔字母с，而非英文半角c，导致实际授予了一个不存在的角色，自然无法继承权限。即使你表示已修正，建议再次核对角色名的字符类型，避免非英文字母干扰。
2. 第二次尝试的测试逻辑偏差：
   通过超级用户会话执行SET ROLE ads;切换角色后，会话的初始权限上下文可能影响权限验证，无法真实反映ads角色的实际权限。正确的测试方式应该是直接用ads角色登录数据库操作。

正确操作步骤 #

1. 规范创建角色并授权 #

-- 创建具备CREATEDB、CREATEROLE权限的组角色（NOLOGIN限制直接登录）
CREATE ROLE db_admin_group WITH NOLOGIN CREATEDB CREATEROLE;
-- 创建带登录权限的用户角色
CREATE ROLE operational_user WITH LOGIN PASSWORD 'your_secure_password';
-- 将组角色权限授予用户角色，实现权限继承
GRANT db_admin_group TO operational_user;

2. 验证权限有效性 #

直接使用operational_user登录PostgreSQL，执行以下命令测试：

CREATE DATABASE test_demo;

此时应能成功创建数据库，因为operational_user已继承db_admin_group的CREATEDB权限。

关键注意事项 #

• 角色名严格使用英文半角字符：避免输入全角字符、西里尔字母等非英文字母，导致角色匹配失败。
• 默认继承属性：PostgreSQL角色默认携带INHERIT属性，登录角色会自动继承所属组角色的权限；若创建角色时指定NOINHERIT，则需显式执行SET ROLE 组角色名;才能获取对应权限。
• 使用目标角色直接测试：避免通过超级用户切换角色验证，确保测试场景与实际使用场景一致。

内容的提问来源于stack exchange，提问作者Grenogen