EF Core Code First迁移下PostgreSQL表权限与所有权自动管理咨询

方案1：使用EF Core迁移拦截器（推荐，全局自动生效无需每次手动写迁移逻辑） #

EF Core 5支持MigrationOperationInterceptor，可以在迁移操作执行前后插入自定义逻辑，你可以全局拦截建表、建索引等DDL操作的执行后置阶段，统一执行修改所有者和授权的SQL：

• 首先实现自定义迁移拦截器

public class PostgresPermissionInterceptor : MigrationOperationInterceptor
{
    private const string TargetOwner = "你预设的表所有者账号";
    private const string TargetRole = "需要授权的应用访问账号";
    
    public override InterceptionResult MigrationsApplied(
        MigrationsAppliedEventData eventData, 
        InterceptionResult result)
    {
        // 每次迁移应用完成后，批量修改本次迁移新建对象的所有者并授权
        var tables = eventData.Context.Database.SqlQueryRaw<string>(
            @"SELECT table_name 
            FROM information_schema.tables 
            WHERE table_schema = 'public' 
            AND table_owner = current_user;").ToList();
        
        foreach (var table in tables)
        {
            // 修改表所有者
            eventData.Context.Database.ExecuteSqlRaw($"ALTER TABLE \"{table}\" OWNER TO \"{TargetOwner}\";");
            // 按需授权，比如给应用账号增删改查权限
            eventData.Context.Database.ExecuteSqlRaw($"GRANT SELECT, INSERT, UPDATE, DELETE ON TABLE \"{table}\" TO \"{TargetRole}\";");
            // 若有自增序列权限需求也同步处理
            eventData.Context.Database.ExecuteSqlRaw($"GRANT USAGE, SELECT ON SEQUENCE \"{table}_id_seq\" TO \"{TargetRole}\";");
        }
        return base.MigrationsApplied(eventData, result);
    }
}

• 然后在DbContext配置中注册拦截器

protected override void OnConfiguring(DbContextOptionsBuilder optionsBuilder)
{
    optionsBuilder
        .UseNpgsql("你的数据库连接字符串")
        .AddInterceptors(new PostgresPermissionInterceptor());
}

注意：执行迁移的个人账号需要有ALTER TABLE的权限，以及给目标角色授权的权限，否则会执行失败

方案2：自定义迁移SQL模板，全局修改迁移生成逻辑 #

Npgsql EF Core提供程序支持自定义迁移的SQL生成逻辑，你可以重写NpgsqlMigrationsSqlGenerator，在生成建表SQL的末尾自动拼接修改所有者和授权的语句：

public class CustomNpgsqlMigrationsSqlGenerator : NpgsqlMigrationsSqlGenerator
{
    private const string TargetOwner = "预设所有者账号";
    private const string TargetRole = "应用访问账号";
    
    public CustomNpgsqlMigrationsSqlGenerator(
        MigrationsSqlGeneratorDependencies dependencies,
        INpgsqlOptions npgsqlOptions) 
        : base(dependencies, npgsqlOptions)
    {
    }

    protected override void Generate(CreateTableOperation operation, IModel model, MigrationCommandListBuilder builder)
    {
        // 先生成原生的建表SQL
        base.Generate(operation, model, builder);
        // 拼接修改所有者语句
        builder.AppendLine($"ALTER TABLE \"{operation.Name}\" OWNER TO \"{TargetOwner}\";");
        // 拼接授权语句
        builder.AppendLine($"GRANT SELECT, INSERT, UPDATE, DELETE ON TABLE \"{operation.Name}\" TO \"{TargetRole}\";");
        // 处理自增序列
        var identityColumn = operation.Columns.FirstOrDefault(c => c.ValueGenerated == ValueGenerated.OnAdd);
        if (identityColumn != null)
        {
            builder.AppendLine($"GRANT USAGE, SELECT ON SEQUENCE \"{operation.Name}_{identityColumn.Name}_seq\" TO \"{TargetRole}\";");
        }
        builder.EndCommand();
    }
}

• 注册自定义SQL生成器：

protected override void OnConfiguring(DbContextOptionsBuilder optionsBuilder)
{
    optionsBuilder
        .UseNpgsql("你的数据库连接字符串")
        .ReplaceService<IMigrationsSqlGenerator, CustomNpgsqlMigrationsSqlGenerator>();
}

这个方案的优势是生成的迁移文件本身就包含权限处理逻辑，不需要运行时动态查询，执行效率更高。

方案3：数据库层面预设事件触发器（无需修改代码） #

如果不想调整EF Core相关逻辑，也可以直接在PostgreSQL数据库中创建DDL事件触发器，当有新建表的操作时自动触发修改所有者和授权：

-- 创建触发器函数
CREATE OR REPLACE FUNCTION auto_set_table_owner_and_permission()
RETURNS event_trigger AS $$
DECLARE
    obj record;
    target_owner text := '预设所有者账号';
    target_role text := '应用访问账号';
BEGIN
    FOR obj IN SELECT * FROM pg_event_trigger_ddl_commands() WHERE command_tag = 'CREATE TABLE'
    LOOP
        EXECUTE format('ALTER TABLE %s OWNER TO %I', obj.object_identity, target_owner);
        EXECUTE format('GRANT SELECT, INSERT, UPDATE, DELETE ON TABLE %s TO %I', obj.object_identity, target_role);
        EXECUTE format('GRANT USAGE, SELECT ON SEQUENCE %s_id_seq TO %I', obj.object_identity, target_role);
    END LOOP;
END;
$$ LANGUAGE plpgsql;

-- 创建DDL触发器
CREATE EVENT TRIGGER trigger_on_create_table
ON ddl_command_end
WHEN TAG IN ('CREATE TABLE')
EXECUTE FUNCTION auto_set_table_owner_and_permission();

这个方案完全和应用层解耦，不管是EF迁移还是其他工具建表都会自动触发权限设置。

内容的提问来源于stack exchange，提问作者Donce530