phpPgAdmin多数据库权限配置问题：非所有者用户操作受限

一、让user1_user1拥有数据库完整操作权限（含ALTER DATABASE） #

PostgreSQL中ALTER DATABASE这类配置操作默认仅允许数据库所有者或超级用户执行，要让非所有者的user1_user1实现该操作，可通过以下两种方式：

方式1：授予临时角色切换权限 #

允许user1_user1临时切换到user1身份执行操作，不提升为超级用户：

-- 授予user1_user1切换到user1角色的权限
GRANT user1 TO user1_user1;

使用时，user1_user1需先执行：

SET ROLE user1;
ALTER DATABASE "user1_db1" SET bytea_output = 'escape';
RESET ROLE;

此方法保留user1的数据库所有者身份，满足phpPgAdmin开启$conf['owned_only'] = true;时的显示要求。

方式2：用安全定义器函数封装操作 #

创建以user1身份执行的函数，授予user1_user1执行权限，避免手动切换角色：

-- 创建函数，以所有者身份执行ALTER DATABASE操作
CREATE OR REPLACE FUNCTION set_db_bytea_output(db_name text, output_mode text)
RETURNS void AS $$
BEGIN
  EXECUTE format('ALTER DATABASE %I SET bytea_output = %L;', db_name, output_mode);
END;
$$ LANGUAGE plpgsql SECURITY DEFINER;

-- 设置函数所有者为user1
ALTER FUNCTION set_db_bytea_output(text, text) OWNER TO user1;

-- 授予user1_user1执行该函数的权限
GRANT EXECUTE ON FUNCTION set_db_bytea_output(text, text) TO user1_user1;

user1_user1可直接调用函数完成配置：

SELECT set_db_bytea_output('user1_db1', 'escape');

二、限制user1_user1访问phpPgAdmin #

修改phpPgAdmin的配置文件（如config.inc.php），指定允许登录的用户列表：

-- 仅允许user1和专用管理用户登录
$conf['allowed_users'] = array('user1', 'pgadmin_special');

这样user1_user1将无法通过phpPgAdmin登录系统。

三、创建专用phpPgAdmin用户（仅显示user1前缀数据库） #

若需独立管理账号，可创建专用用户并限制其可见数据库范围：

1. 创建专用用户：

CREATE USER pgadmin_special WITH PASSWORD 'your_secure_password';

2. 授予连接user1前缀数据库的权限：

GRANT CONNECT ON DATABASE user1_db1, user1_db2, user1_db3 TO pgadmin_special;

3. 严格过滤数据库列表（可选）：

-- 创建仅包含user1前缀数据库的视图
CREATE VIEW user1_databases AS
SELECT * FROM pg_catalog.pg_database WHERE datname LIKE 'user1_%';

-- 授予专用用户视图查询权限
GRANT SELECT ON user1_databases TO pgadmin_special;

随后修改phpPgAdmin源码中查询pg_database的逻辑，替换为查询该自定义视图，实现仅显示目标数据库的效果。

推荐组合方案 #

1. 采用**方式2（安全定义器函数）**让user1_user1拥有完整操作权限，无需手动切换角色；
2. 修改phpPgAdmin配置，通过allowed_users限制user1_user1登录；
3. 保持user1为数据库所有者，确保owned_only=true时可在phpPgAdmin中查看所有数据库。

内容的提问来源于stack exchange，提问作者include