如何在Redshift中对自定义表的密码字段进行掩码处理？

嗨，这个需求我之前在Redshift里落地过，要让自定义用户表的密码字段像PG_USER那样自动显示成*****，其实结合视图/自定义函数+权限控制就能轻松实现，下面给你两种靠谱的方案：

这是最容易上手的方式，核心思路是不让普通用户直接查询原表，而是通过视图返回掩码后的密码：

• 假设你的自定义用户表叫app_auth_users，包含user_id、username、password字段
• 创建一个替代查询的视图，把password字段固定返回*****：

CREATE OR REPLACE VIEW v_app_auth_users AS
SELECT user_id, username, '*****' AS password
FROM app_auth_users;

• 回收普通用户对原表的查询权限，只授予视图的访问权限：

-- 禁止普通用户直接查原表
REVOKE SELECT ON app_auth_users FROM public;
-- 允许访问视图
GRANT SELECT ON v_app_auth_users TO public;

这样普通用户查询v_app_auth_users时，密码列就会显示*****，只有拥有原表权限的管理员能看到真实的密码（当然，原表的密码应该是哈希加密后的，不能存明文！）

如果需要让特定用户（比如管理员）能看到真实密码，其他用户只能看掩码，就可以用自定义函数结合视图来实现：

• 首先创建一个判断当前用户的掩码函数：

CREATE OR REPLACE FUNCTION mask_user_password(p_password VARCHAR, p_admin_user VARCHAR)
RETURNS VARCHAR AS $$
BEGIN
    -- 只有指定的管理员用户能看到真实密码
    IF CURRENT_USER = p_admin_user THEN
        RETURN p_password;
    ELSE
        RETURN '*****';
    END IF;
END;
$$ LANGUAGE plpgsql STABLE;

• 然后创建视图调用这个函数：

CREATE OR REPLACE VIEW v_app_auth_users AS
SELECT 
    user_id, 
    username, 
    mask_user_password(password, 'redshift_admin') AS password
FROM app_auth_users;

• 同样回收原表的普通权限，只开放视图权限即可。

关键安全提醒：
不管用哪种方案，绝对不要在原表中存储明文密码！一定要用Redshift支持的crypt函数生成哈希值存储，比如插入数据时的写法：

INSERT INTO app_auth_users (user_id, username, password)
VALUES (1, 'bob_smith', crypt('his_strong_password', gen_salt('bf')));

内容的提问来源于stack exchange，提问作者Aakash Basu