Snowflake中如何为存储过程仅授予只读访问权限

首先纠正一个认知偏差：你使用的GRANT USAGE ON PROCEDURE语句本身不会授予存储过程相关的写入权限，该权限的作用仅为允许被授权角色调用对应存储过程，不包含修改存储过程定义、删除存储过程、转移存储过程所有权这类写入类操作——存储过程的完全写入控制权限仅属于持有该过程OWNERSHIP权限的角色。

你担心的“调用存储过程时产生写入操作”的风险，本质来自存储过程的执行权限模式配置，和USAGE授权本身无关，你可以根据业务场景选择以下方案实现严格的只读控制：

• 方案1：将存储过程配置为调用者执行模式
  Snowflake存储过程支持两种执行权限上下文，默认是所有者权限（EXECUTE AS OWNER），该模式下存储过程执行时会使用过程所有者的权限运行，如果过程内部写了增删改类逻辑，哪怕调用者本身没有对应表的写入权限，调用时也会执行写入操作。
  你可以将存储过程修改为调用者权限模式，执行时完全沿用调用者自身的权限，只要你没有给调用角色分配业务表的写入权限，就算过程内有写入逻辑，执行时也会因权限不足报错，不会产生实际写入：

  -- 重建存储过程时指定EXECUTE AS CALLER
  CREATE OR REPLACE PROCEDURE get_column_scale(INPUT_PARAM float)
  RETURNS float
  LANGUAGE SQL
  EXECUTE AS CALLER
  AS
  $$
  -- 原有存储过程逻辑
  $$;
  

  配置完成后，你原来的GRANT USAGE语句即可直接使用，不会额外开放写入能力。
• 方案2：拆分只读版本存储过程
  如果你的存储过程本身同时包含查询和写入逻辑，且必须保留EXECUTE AS OWNER模式给有写入需求的角色使用，最稳妥的方式是单独创建一个仅保留只读查询逻辑的存储过程版本，仅对需要只读权限的角色授予该版本的USAGE权限，从逻辑层彻底杜绝写入可能。

注意：不要给只读角色授予存储过程的OWNERSHIP权限，该权限包含对存储过程本身的所有修改、删除、转授权限，属于写入类高危权限。

内容的提问来源于stack exchange，提问作者Rohan Bali