如何强制Snowflake用户查询表时按日期/时间戳列过滤结果

之前讨论阻止Snowflake用户对表执行select *全表查询的方案时，收到过一个很实用的诉求：

要是能有类似的机制，强制要求查询在date/timestamp列上添加where子句就好了

针对这个需求，Snowflake没有提供原生的一键开关，但可以通过内置能力组合实现，下面都是实际生产用过能跑通的方法：

方案1：行访问策略拦截（上手最快） #

核心是用Snowflake自带的行访问策略，结合当前执行SQL的上下文做判断，从数据返回层做拦截，步骤很简单：

• 先给需要做限制的表统一规范日期字段，比如固定用event_date作为标准日期过滤字段，所有数据写入时保证该字段值完整无空值
• 创建行访问策略，逻辑分两块：给运维、管理员类角色、服务账号开白名单，避免影响正常数据同步、备份、运维操作；普通用户查询时，必须携带日期字段的过滤条件，且查询范围不能超过业务允许的最大跨度（比如最多查最近30天，防止有人钻空子带个真条件但还是扫好几年的全量数据）
  参考实现代码：

-- 创建带强制过滤逻辑的行访问策略
CREATE OR REPLACE ROW ACCESS POLICY force_date_filter
ON TABLE 替换成你自己的业务表名
AS (event_date DATE)
RETURNS BOOLEAN ->
  -- 白名单角色直接放行，不做限制
  CURRENT_ROLE() IN ('ACCOUNTADMIN', 'DATA_OPS', 'ETL_SERVICE_ROLE')
  OR
  (
    -- 校验提交的SQL里是否写了event_date的过滤条件
    REGEXP_LIKE(
      LOWER(CURRENT_STATEMENT()),
      '.*where.*event_date.*(>=|between|>).*'
    )
    -- 硬限制最大查询范围，避免带了条件还是扫超量数据
    AND event_date >= DATEADD('day', -30, CURRENT_DATE())
  );

• 把策略绑定到目标表的日期字段上就会立即生效。如果不想让不符合条件的查询直接返回空结果，可以在策略逻辑里加RAISE_APPLICATION_ERROR函数，用户没带对过滤条件时直接抛明确的错误，提示"查询必须携带event_date过滤条件，最大允许查询最近30天数据"，用户体验更好。

方案2：查询前置拦截（性能最优） #

如果你的表数据量特别大，不想让不符合要求的SQL哪怕走到执行层占资源，可以搭配Snowflake的查询监控规则+资源队列做前置拦截：

• 给普通用户的ad-hoc查询单独配置专属资源队列
• 在队列层面配置SQL校验规则，用正则匹配提交的SQL文本，发现针对受限制表的查询没带指定日期列的过滤条件，直接在SQL提交阶段就拦截返回，根本不会启动计算资源
• 这个方案的正则逻辑可以写得更严谨，兼容多表关联、子查询、CTE等复杂SQL场景，漏拦、误拦的概率更低。

几个踩过的坑提醒 #

• 正则匹配SQL的规则别直接抄，要根据自己团队的SQL写法调整，比如要兼容event_date写在join条件、having子句里的场景，上线前多拿几个常见查询场景测一测，防止误拦正常查询
• 白名单一定要盘全，所有需要做全表操作的服务账号、运维角色都要放到放行列表里，不然凌晨跑的定时同步任务、数据备份任务被拦了，影响业务
• 规则上线先走测试库跑两天，确认没有误报再推生产，别直接上生产搞崩正常流程。

内容的提问来源于stack exchange，提问作者Felipe Hoffa