如何在Django迁移中结合RunPython与RunSQL实现多租户Schema权限配置

我明白你的需求——在多租户场景下，每个Schema单独执行迁移时，需要动态获取当前Schema名称，然后针对性地授予只读权限。其实用RunPython就能完美解决这个问题，因为它允许你在代码中获取当前Schema，再动态构造并执行SQL语句，比单纯用RunSQL更灵活。

具体实现步骤 #

1. 生成空迁移文件
   首先在你的应用下创建一个空的迁移文件：

   python manage.py makemigrations --empty your_app_name
   

2. 编写迁移逻辑
   打开生成的迁移文件，替换成以下代码：

   from django.db import migrations, connection
   
   def grant_read_only_access(apps, schema_editor):
       # 获取当前正在执行迁移的Schema名称
       current_schema = connection.schema_name
       # 替换成你的只读用户名称
       read_only_user = "readonly_user"
   
       # 构造完整的权限授予SQL
       permission_sql = f"""
           -- 授予Schema下所有现有表的SELECT权限
           GRANT SELECT ON ALL TABLES IN SCHEMA {current_schema} TO {read_only_user};
           -- 授予所有现有序列的SELECT权限（处理自增字段场景）
           GRANT SELECT ON ALL SEQUENCES IN SCHEMA {current_schema} TO {read_only_user};
           -- 设置默认权限，确保未来新建的表/序列自动继承只读权限
           ALTER DEFAULT PRIVILEGES IN SCHEMA {current_schema}
           GRANT SELECT ON TABLES TO {read_only_user};
           ALTER DEFAULT PRIVILEGES IN SCHEMA {current_schema}
           GRANT SELECT ON SEQUENCES TO {read_only_user};
       """
   
       # 执行SQL语句
       with connection.cursor() as cursor:
           cursor.execute(permission_sql)
   
   class Migration(migrations.Migration):
       dependencies = [
           # 这里填写你的依赖迁移，比如('your_app_name', '0001_initial'),
       ]
   
       operations = [
           migrations.RunPython(grant_read_only_access),
       ]
   

关键细节说明 #

• 获取当前Schema：connection.schema_name会直接返回当前迁移执行上下文对应的Schema名称，完美适配多租户场景下每个Schema单独执行迁移的逻辑。
• 完整权限覆盖：不仅处理现有表和序列，还通过ALTER DEFAULT PRIVILEGES确保未来在该Schema下新建的对象也会自动获得只读权限，避免遗漏。
• 权限执行：使用connection.cursor()直接执行构造好的SQL，和RunSQL的效果一致，但能动态注入当前Schema变量。

注意事项 #

• 确保执行迁移的数据库用户拥有足够的权限来执行GRANT和ALTER DEFAULT PRIVILEGES操作。
• 替换代码中的readonly_user为你实际的只读数据库用户名。
• 如果使用了django-tenants这类多租户库，迁移会自动遍历所有租户Schema执行该逻辑，无需额外配置。

内容的提问来源于stack exchange，提问作者purplefloyd