PostgreSQL如何仅为指定单个用户应用Row Level Security(RLS)策略

完全可以仅用两条策略实现需求，无需为每个用户单独创建豁免规则。

实现原理 #

PostgreSQL 行级安全策略支持使用 TO PUBLIC 匹配所有数据库用户，且策略的USING条件可通过current_user判断当前操作用户身份。多个适用的策略之间为或的关系，只要任意一条适用策略的USING条件返回真，即可访问对应数据行。

具体操作步骤 #

1. 开启表的行级安全（你已完成该操作）

ALTER TABLE accounts ENABLE ROW LEVEL SECURITY;

2. 创建针对david的限制策略（你已完成该操作）

CREATE POLICY accounts_web ON accounts TO david USING (id = current_setting('rls.tenant_id' )::uuid);

3. 创建覆盖所有其他用户的通用豁免策略

CREATE POLICY accounts_allow_all_others ON accounts TO PUBLIC USING (current_user != 'david');

注意事项 #

• PostgreSQL默认对超级用户、表所有者豁免RLS规则，如果你需要强制让表所有者也受RLS约束，可额外执行ALTER TABLE accounts FORCE ROW LEVEL SECURITY;
• 上述默认策略对SELECT/INSERT/UPDATE/DELETE所有操作生效，如果你需要仅限制特定操作，可在创建策略时指定操作类型，例如CREATE POLICY xxx ON accounts FOR SELECT TO david ...
• 该方案通过current_user直接判断用户名，不受角色继承关系影响，适配性更强。

内容的提问来源于stack exchange，提问作者Hari