RDS Postgres 禁用触发器报系统触发器权限错误的解决方案咨询

• 在RDS托管的Postgres环境中执行ALTER TABLE table_name DISABLE TRIGGER ALL;语句时，触发权限报错
• 具体报错信息：sqlalchemy.exc.ProgrammingError: (psycopg2.errors.InsufficientPrivilege) permission denied: "RI_ConstraintTrigger_a_16536" is a system trigger.
• 问题根因：报错中提到的RI_ConstraintTrigger_*是Postgres为外键约束自动生成的内部系统触发器，这类触发器的修改默认要求超级用户权限，而RDS托管环境不支持为普通业务账号授予原生Postgres的SUPERUSER权限，直接全量禁用所有触发器的操作无法顺利完成。

• 方案1：仅禁用业务自定义触发器，不操作系统内部触发器
  直接使用DISABLE TRIGGER ALL会将表上所有触发器（包括外键关联的系统触发器）纳入操作范围，才会触发权限不足的报错。实际操作时可以先过滤掉系统内部触发器，仅对自定义的业务触发器执行禁用操作，该操作只需要表的属主权限即可完成，不需要额外高权限：
  1. 查询当前表上所有非系统的自定义触发器列表：

     SELECT tgname 
     FROM pg_trigger 
     WHERE tgrelid = '目标表名'::regclass 
       AND NOT tgisinternal; -- 过滤掉内部自动生成的系统触发器
     

  2. 针对查询到的自定义触发器名称，逐个执行禁用操作：

     ALTER TABLE 目标表名 DISABLE TRIGGER 自定义触发器名称;
     

• 方案2：需要临时操作外键系统触发器时，通过RDS内置高权限角色实现
  RDS虽然不开放原生SUPERUSER权限，但提供了内置的rds_superuser_role托管高权限角色，覆盖了多数原本需要超级用户才能执行的操作权限，操作流程如下：
  1. 使用RDS实例创建时设置的主管理员账号，给需要执行禁用操作的业务账号授权：

     GRANT rds_superuser_role TO 业务账号名;
     

  2. 授权完成后，业务账号即可执行全量禁用触发器的操作，不会再出现系统触发器的权限报错
  3. 操作完成后按照最小权限原则，及时回收该角色权限：

     REVOKE rds_superuser_role FROM 业务账号名;
     

• 方案3：批量数据导入/同步场景下，用会话级参数临时绕过触发器
  如果是为了批量导入数据才需要跳过触发器逻辑，不需要真的修改触发器的全局生效状态，可以通过会话级参数实现单连接内的触发器临时失效，断开连接后配置自动还原，无长期副作用：
  1. 在当前执行导入的数据库连接中，执行参数设置：

     SET session_replication_role = replica;
     

     设置完成后，当前连接内的所有触发器（包括外键系统触发器、自定义业务触发器）都不会被触发
  2. 数据导入完成后，将参数切回默认值即可恢复正常触发器逻辑：

     SET session_replication_role = origin;
     

  该操作只需要表的属主权限即可执行，不需要额外的高权限授权。

内容的提问来源于stack exchange，提问作者Siddharth Sampath