如何基于数据库角色表动态实现Azure Databricks行级安全

核心思路是通过EXISTS半连接动态遍历权限配置表，替代硬编码的多段OR判断逻辑，后续新增分支、群组映射仅需维护配置表，无需修改视图/策略定义。

权限匹配规则落地 #

实现严格遵循需求中的校验逻辑：

• 优先判断当前用户是否属于全量权限群组DBGrpH_H1，命中则直接返回全量业务数据
• 非全量权限用户，自动遍历权限配置表中所有群组，匹配当前用户所属群组对应的可访问分支，仅返回分支匹配的数据条目

具体实现代码 #

方案1：安全视图实现（所有Databricks版本通用） #

CREATE OR REPLACE VIEW vw_branch_secured_business_data AS
SELECT
  ed.*,
  ebd.EmpBranch
FROM Employee_Details ed
INNER JOIN Employee_Branch_Details ebd
  ON ed.EmpId = ebd.EmpId
WHERE
  -- 全量权限匹配
  EXISTS (
    SELECT 1
    FROM Databricks_Groups_Details g
    WHERE g.DBGroup = 'DBGrpH_H1'
      AND IS_MEMBER(g.DBGroup)
  )
  OR
  -- 分支权限动态匹配
  EXISTS (
    SELECT 1
    FROM Databricks_Groups_Details g
    WHERE IS_MEMBER(g.DBGroup)
      AND g.AllowedBranch != '#' -- 排除全量权限的特殊标记值
      AND g.AllowedBranch = ebd.EmpBranch
  );

方案2：Unity Catalog 原生行级安全策略（UC环境推荐） #

如果工作区启用了Unity Catalog，可以直接在业务表上绑定RLS策略，无需创建额外视图，用户直接查询原表即可自动触发权限过滤：

-- 1. 创建权限过滤函数
CREATE OR REPLACE FUNCTION fn_branch_rls_filter(branch_col STRING)
RETURNS BOOLEAN
RETURN
  EXISTS(
    SELECT 1 FROM Databricks_Groups_Details g
    WHERE g.DBGroup = 'DBGrpH_H1' AND IS_MEMBER(g.DBGroup)
  )
  OR
  EXISTS(
    SELECT 1 FROM Databricks_Groups_Details g
    WHERE IS_MEMBER(g.DBGroup)
      AND g.AllowedBranch != '#'
      AND g.AllowedBranch = branch_col
  );

-- 2. 给业务表绑定行级安全策略
CREATE ROW LEVEL SECURITY POLICY rls_branch_access
ON Employee_Details -- 可替换为你的核心业务表名
USING (fn_branch_rls_filter(EmpBranch));

权限验证语句 #

可以用以下语句校验当前用户匹配到的权限范围：

SELECT
  CASE
    WHEN EXISTS(SELECT 1 FROM Databricks_Groups_Details WHERE DBGroup='DBGrpH_H1' AND IS_MEMBER(DBGroup))
    THEN '全量访问权限'
    ELSE '分支受限访问权限'
  END AS access_level,
  collect_set(AllowedBranch) AS accessible_branch_list
FROM Databricks_Groups_Details
WHERE IS_MEMBER(DBGroup) AND AllowedBranch != '#';

方案优势 #

• 无硬编码逻辑：后续新增分支、调整群组和分支的映射关系，仅需向Databricks_Groups_Details表插入/更新对应配置，无需修改视图或RLS策略代码
• 性能优异：基于EXISTS半连接实现，Databricks优化器会自动下推过滤条件，不会产生冗余的笛卡尔积计算
• 维护成本低：所有权限规则统一收敛在Databricks_Groups_Details配置表中，权限审计、调整仅需操作单表即可完成

注意事项 #

• 需要给所有业务查询用户授予Databricks_Groups_Details、Employee_Branch_Details两张配置表的SELECT权限，否则查询会触发权限报错
• IS_MEMBER函数对群组名大小写敏感，配置表中存储的群组名需要和Databricks管理控制台中的群组名完全一致
• 如果需要新增特殊用户的跨分支访问权限，仅需将对应用户加入对应分支的群组，或在配置表中新增专属群组的映射规则即可，无需调整核心过滤逻辑

内容的提问来源于stack exchange，提问作者Rana