Redshift如何限制指定用户仅可访问视图内的部分列

首先建议先调整old_view的定义，避免用SELECT *直接拉取new_view的全量列，防止后续new_view新增PII列时自动同步到old_view引发权限泄露风险。

方案1：显式列级权限授权（最常用） #

该方案直接在old_view层做权限控制，无需修改底层new_view的任何配置：

• 第一步：重定义old_view为显式列结构，主动排除不需要对外开放的PII列

CREATE OR REPLACE VIEW old_view AS
SELECT 
  id,
  user_name,
  register_time,
  order_amount -- 仅保留需要对外开放的业务列，主动排除手机号、身份证号等PII列
FROM new_view;

• 第二步：回收目标用户对old_view的原有全量权限，避免权限冲突

REVOKE ALL ON old_view FROM 目标用户名/用户组名;

• 第三步：仅授予目标用户允许访问的特定列的SELECT权限

GRANT SELECT (id, user_name, register_time) ON old_view TO 目标用户名/用户组名;

配置完成后，目标用户查询old_view中未授权的列时，会直接返回权限不足错误，无需额外做其他屏蔽配置。

方案2：动态列掩码（适合多权限等级场景） #

如果需要针对不同用户群体开放不同权限的列，不需要创建多个视图，可以用Redshift的动态掩码策略实现：

1. 创建PII列脱敏策略

CREATE MASKING POLICY pii_phone_mask ON old_view
FOR (phone VARCHAR)
USING (
  CASE
    WHEN current_user IN ('允许访问PII的用户名') THEN phone
    ELSE '***' -- 非授权用户查询时返回脱敏后的内容
  END
);

2. 将策略绑定到对应PII列

ALTER TABLE old_view ATTACH MASKING POLICY pii_phone_mask ON (phone);

该方案的优势是无需针对不同用户维护多套视图，同一个视图会自动根据当前登录用户的身份返回对应权限的内容。

内容的提问来源于stack exchange，提问作者anu