为什么Snowflake中带JavaScript UDF的掩码策略在聚合函数场景下失效？

你遇到的内部错误核心是类型不匹配引发的执行计划冲突：你定义的JS UDF返回类型为STRING，但掩码策略要求返回NUMBER类型。普通查询时Snowflake执行逻辑会跳过未命中分支的类型校验，而聚合查询的优化执行计划会提前校验所有分支的返回值类型兼容性，最终触发内部执行异常。

• 方案1：使用Snowflake内置ERROR函数替代自定义JS UDF（最优选择）
  内置异常抛出函数无需定义返回值类型，天然适配掩码策略的返回类型要求，不会出现类型兼容问题，性能也优于自定义JS UDF。
  修改后的掩码策略如下：

CREATE OR REPLACE MASKING POLICY
"ANKET_DB"."CUSTOMER_SERVICES"."CUSTOMER_SERVICES_MASKING_P"
AS (VAL number)
RETURNS number -> CASE 
WHEN CONTAINS(CURRENT_AVAILABLE_ROLES(), 'PREV_USER_UBAKA') 
THEN ERROR('ERROR: User is not authorized for AMOUNT column in this query.')
ELSE VAL 
END;

修改完成后可直接删除原有自定义UDF，所有查询（含聚合查询）都会在权限不符合时正常抛出指定错误信息。

• 方案2：调整自定义UDF返回类型与掩码策略匹配
  如果必须保留自定义UDF，只需修改UDF的返回类型为和掩码策略一致的NUMBER即可（UDF仅抛出异常不会实际返回值，修改返回类型不影响功能）。
  修改后的UDF代码：

create or replace function "ANKET_DB".PUBLIC.ThrowColumnAccessException(column_name string) 
returns number 
language javascript as 
$$ 
msg = 'ERROR: User is not authorized for ' + COLUMN_NAME + ' column in this query.'; 
throw msg; 
$$;

修改完成后原有掩码策略无需调整，即可正常支持聚合查询。

• 方案3：使用原生列级权限控制（无自定义代码需求）
  如果不需要自定义错误提示，直接使用Snowflake原生列级权限控制即可实现同等效果，性能和稳定性更高：

-- 回收指定角色对AMOUNT列的查询权限
REVOKE SELECT("AMOUNT") ON TABLE "ANKET_DB"."CUSTOMER_SERVICES"."CUSTOMER_SERVICES" FROM ROLE PREV_USER_UBAKA;

配置完成后，该角色的用户无论执行普通查询还是聚合查询，访问AMOUNT列时都会直接返回标准权限不足错误。

内容的提问来源于stack exchange，提问作者Anket Malandkar