首页 / POSTGRCSQL / postgresql-行级安全-RLS

postgresql-行级安全-RLS

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了postgresql-行级安全-RLS，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含8105字，纯文字阅读大概需要12分钟。

内容图文

行级安全-RLS

行级安全策略

9.5版本新增的特性，该特性是在数据库授权体系下提供的更细粒度的控制。通俗的说就是不同用户可以看到表中不同的数据，这种控制是行级别的

9.5以前的数据库安全技术是通过grant/revoke来实现的，这两个指令提供了对象级的安全限制，针对表还有列级别的安全限制。

所有对数据的操作，暴扣数据查询和更新，都受策略的限制，如果没有配置安全策略，所有的查询和更新都会禁止，但是对全表进行操作的命令，truncate和refrences不受影响

行级安全策略可以加在命令上，也可以加在角色上，也可以两者都加。命令可以是 ALL, SELECT, INSERT, UPDATE 和
DELETE, 同一个策略也可以赋予多个角色。但是表的所有者，超级用户 (postgres) 以及加上了 BYPASSRLS
属性的角色不受安全性的限制。如果应用想忽略行级安全性机制的限制，也可以将 row_security 设置为 off。

CREATE POLICY ， ALTER POLICY ， DROP POLICY 命令分别用于策略的创建、修改和删除， ALTER TABLE 可以用于行级安全性的启用 / 禁用。

每个策略都有一个名字，每个表可以定义多个策略，因为策略是针对表的，所以表内的多个策略名字必须唯一，但是不同的表可以有同名的策略，当表有多个策略时，多个策略之间是 OR 的关系。

语法

        CREATE POLICY name ON table_name
    [ FOR { ALL | SELECT | INSERT | UPDATE | DELETE } ]
    [ TO { role_name | PUBLIC | CURRENT_USER | SESSION_USER } [, ...] ]
    [ USING ( using_expression ) ]
    [ WITH CHECK ( check_expression ) ]
using:针对已经存在的记录的校验，可实施在select，update，delete，all上
with check：针对将要新增的记录的校验，可实施在insert，update，all上
update因为涉及旧的数据和新的记录，如果只写了using，但是没有提供with check的话，using同时会当成with check来进行检查

如果针对同样的命令创建了多个策略, 所有策略中任意一个为TRUE都通过.

例如ALL, SELECT各创建了一个策略for role r1, 执行select时任意一个为TRUE都通过.

开启了安全策略后，普通用户能否正常访问数据？
更新策略（更新是标记为删除后插入，也可以看出先查询后插入）需要注意什么？

        --创建三个用户
postgres=# create role r1 login;
CREATE ROLE
postgres=# create role r2 login;
CREATE ROLE
postgres=# create role r3 login;
CREATE ROLE

--创建表
postgres=# create table test(id int, r name);  
CREATE TABLE
postgres=#  insert into test values(1, ‘r1‘);  
INSERT 0 1
postgres=# insert into test values(2, ‘r2‘);  
INSERT 0 1
postgres=# insert into test values(3, ‘r3‘);  
INSERT 0 1
postgres=#  grant all on table test to public;  
GRANT

--创建一个新增数据的策略，with check
postgres=# create policy p on test for insert to r1 with check( r = current_user);
CREATE POLICY
postgres=# 

--默认情况下状态是disable状态
postgres=# \d+ test
                         Table "public.test"
 Column |  Type   | Modifiers | Storage | Stats target | Description 
--------+---------+-----------+---------+--------------+-------------
 id     | integer |           | plain   |              | 
 r      | name    |           | plain   |              | 
Policies (row security disabled):
    POLICY "p" FOR INSERT
      TO r1
      WITH CHECK ((r = "current_user"()))

--pg_policies可以查看已经创建的策略
postgres=# select * from pg_policies;
 schemaname | tablename | policyname | roles |  cmd   | qual |       with_check       
------------+-----------+------------+-------+--------+------+------------------------
 public     | test      | p          | {r1}  | INSERT |      | (r = "current_user"())
(1 row)

postgres=# \c postgres r1
FATAL:  permission denied for database "postgres"
DETAIL:  User does not have CONNECT privilege.
Previous connection kept
--赋予连接权限
postgres=# grant connect on database postgres to r1;
GRANT
postgres=# grant connect on database postgres to r2;
GRANT
postgres=# grant connect on database postgres to r3;
GRANT

--在策略是disable状态的时候，策略视为无效状态
postgres=# \c postgres r1
psql (9.6.4, server 9.5.3)
You are now connected to database "postgres" as user "r1".
postgres=> 
postgres=> insert into test values(4,‘r1‘);
INSERT 0 1
postgres=> insert into test values(4,‘r2‘);
INSERT 0 1
postgres=> 

--使策略生效
postgres=> \c postgres sa
psql (9.6.4, server 9.5.3)
You are now connected to database "postgres" as user "sa".
postgres=# alter table test enable row level security;
ALTER TABLE

--再次插入数据就只能插入和r1角色同名的r值，r1用户插入了r2值会报错
postgres=# \c postgres r1
psql (9.6.4, server 9.5.3)
You are now connected to database "postgres" as user "r1".
postgres=> insert into test values(4,‘r2‘);
ERROR:  new row violates row-level security policy for table "test"
postgres=> insert into test values(4,‘r1‘);
INSERT 0 1

新增策略

        --新增一个策略，r1角色插入test表时，允许r字段的值为‘r1’和’r2‘
postgres=> \c postgres sa
psql (9.6.4, server 9.5.3)
You are now connected to database "postgres" as user "sa".
postgres=# create policy p1 on test for insert to r1 with check( r = ‘r2‘);  
CREATE POLICY
postgres=# 
postgres=# \c postgres r1
psql (9.6.4, server 9.5.3)
You are now connected to database "postgres" as user "r1".
postgres=> insert into test values(4,‘r2‘);  
INSERT 0 1
postgres=> insert into test values(4,‘r1‘);  
INSERT 0 1
postgres=> insert into test values(4,‘r3‘);  
ERROR:  new row violates row-level security policy for table "test"

postgres=> \d+ test
                         Table "public.test"
 Column |  Type   | Modifiers | Storage | Stats target | Description 
--------+---------+-----------+---------+--------------+-------------
 id     | integer |           | plain   |              | 
 r      | name    |           | plain   |              | 
Policies:
    POLICY "p" FOR INSERT
      TO r1
      WITH CHECK ((r = "current_user"()))
    POLICY "p1" FOR INSERT
      TO r1
      WITH CHECK ((r = ‘r2‘::name))

开启策略后，普通用户无法在访问数据

        postgres=> \c postgres r2
psql (9.6.4, server 9.5.3)
You are now connected to database "postgres" as user "r2".
postgres=> select  * from test;
 id | r 
----+---
(0 rows)

postgres=> \c postgres r1
psql (9.6.4, server 9.5.3)
You are now connected to database "postgres" as user "r1".
postgres=> select * from test;
 id | r 
----+---
(0 rows)

查询策略

        --r1只能查看到r=‘r1‘的数据
postgres=> \c postgres sa
psql (9.6.4, server 9.5.3)
You are now connected to database "postgres" as user "sa".
postgres=# create policy p2 on test for select to r1 using ( r = current_user);  
CREATE POLICY
postgres=# 
postgres=# \c postgres r1
psql (9.6.4, server 9.5.3)
You are now connected to database "postgres" as user "r1".
postgres=> select * from test;
 id | r  
----+----
  1 | r1
  4 | r1
  4 | r1
  4 | r1
(4 rows)


--创建所有用户只能看到r= current_user，to public
postgres=> \c postgres sa
psql (9.6.4, server 9.5.3)
You are now connected to database "postgres" as user "sa".
postgres=# create policy p3 on test for select to public using ( r = current_user);  
CREATE POLICY
postgres=# \c postgres r2
psql (9.6.4, server 9.5.3)
You are now connected to database "postgres" as user "r2".
postgres=> select * from test;
 id | r  
----+----
  2 | r2
  4 | r2
  4 | r2
(3 rows)

更新策略

        --创建更新策略
postgres=# create policy p4 on test for update to r3 using(r=current_user);
CREATE POLICY

--删除开始的策略
postgres=# drop policy p on test;
DROP POLICY
postgres=# drop policy p1 on test;
DROP POLICY
postgres=# drop policy p2 on test;
DROP POLICY
postgres=# drop policy p3 on test;
DROP POLICY
postgres=# \d+ test
                         Table "public.test"
 Column |  Type   | Modifiers | Storage | Stats target | Description 
--------+---------+-----------+---------+--------------+-------------
 id     | integer |           | plain   |              | 
 r      | name    |           | plain   |              | 
Policies:
    POLICY "p4" FOR UPDATE
      TO r3
      USING ((r = "current_user"()))

postgres=# \c postgres r3
psql (9.6.4, server 9.5.3)
You are now connected to database "postgres" as user "r3".
--更新数据为0，是没有创建查询策略？
postgres=> update test set id=4 where r = ‘r3‘;
UPDATE 0
postgres=> select * from test;
 id | r 
----+---
(0 rows)

--创建了查询策略后，数据可以正常更新
postgres=> \c postgres sa
psql (9.6.4, server 9.5.3)
You are now connected to database "postgres" as user "sa".
postgres=# create policy p1 on test for select to r3 using ( r = current_user);  
CREATE POLICY
postgres=# \c postgres r3
psql (9.6.4, server 9.5.3)
You are now connected to database "postgres" as user "r3".
postgres=> select * from test;
 id | r  
----+----
  3 | r3
(1 row)
--常见查询策略后，更新了数据
postgres=> update test set id=4 where r = ‘r3‘;
UPDATE 1

策略只针对非超级用户和非owner

        --超级用户可以看到所有数据
postgres=> \c postgres sa
psql (9.6.4, server 9.5.3)
You are now connected to database "postgres" as user "sa".
postgres=# select * from test;
 id | r  
----+----
  1 | r1
  2 | r2
  3 | r3
  4 | r1
  4 | r2
  4 | r1
  4 | r2
  4 | r1
(8 rows)

postgres=# alter role r1 superuser;
ALTER ROLE
postgres=# \c postgres r1
psql (9.6.4, server 9.5.3)
You are now connected to database "postgres" as user "r1".
postgres=# select * from test;
 id | r  
----+----
  1 | r1
  2 | r2
  3 | r3
  4 | r1
  4 | r2
  4 | r1
  4 | r2
  4 | r1
(8 rows)

普通用户对添加了行级安全策略的表pg_dump或者pg_restore时会报错

         pg_dump -U r1 -d postgres -p 5432 -t public.test
pg_dump: [archiver (db)] query failed: ERROR:  query would be affected by row-level security policy for table "test"
pg_dump: [archiver (db)] query was: COPY public.test (id, r) TO stdout;

CREATE POLICY ， ALTER POLICY ， DROP POLICY 命令分别用于策略的创建、修改和删除， ALTER TABLE 可以用于行级安全性的启用 / 禁用。

RLS参考资料
 RLS参考资料

原文：https://www.cnblogs.com/zhangfx01/p/14367567.html

内容总结

以上是互联网集市为您收集整理的postgresql-行级安全-RLS全部内容，希望文章能够帮你解决postgresql-行级安全-RLS所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/1277018.html

来源：【匿名】

【上一篇】PostgreSQL 慢查询SQL语句跟踪【下一篇】PDO扩展连接PostgreSQL对象关系数据库步骤详解

更多 ►

【postgresql-行级安全-RLS】教程文章相关的互联网学习教程文章

3.5. PostgreSQL继承【代码】

继承是面向对象的数据库的概念。它开启了数据库设计新的有趣的可能性大门。让我们创建两个表：一个 cities 表和一个 capitals 表。自然，首府(capital)也是城市(cities)，因此在列出所有城市时你想要某种方法隐含地显示首府。如果你已经很高明了，那么你可能会创造类似下面这样的模式：CREATE TABLE capitals (name text,population real,altitude int, -- (单位是英尺)state char(2) );CREATE TABLE non_capitals...

postgresql 函数返回结果集(zz)

pgsql function 系列之一：返回结果集--------------------------------------------------------------------------------我们在编写postgresql数据库的函数（或称为存储过程）时，时常会遇到需要返回一个结果集的情况，如何返回一个结果集，返回一个结果集有多少种方式，以及如何选择一个合适的方式返回结果集，这是一个需要仔细考虑的问题。本文仅简单的罗列出各种返回结果集的方式并试图分析他们的特点，而采用何种方式则留给大...

postgreSQL主从复制【代码】

一、简介 postgres在9.0之后引入了主从的流复制机制，所谓流复制，就是从服务器通过tcp流从主服务器中同步相应的数据。这样当主服务器数据丢失时从服务器中仍有备份。与基于文件日志传送相比，流复制允许保持从服务器更新。从服务器连接主服务器，其产生的流WAL记录到从服务器，而不需要等待主服务器写完WAL文件。PostgreSQL流复制默认是异步的。在主服务器上提交事务和从服务器上变化可见之间有一个小的延迟，这个延迟远小于基于...

POSTGRESQL 数据库导入导出

导入整个数据库psql -U postgres(用户名) 数据库名(缺省时同用户名) < /data/dum.sql 导出整个数据库pg_dump -h localhost -U postgres(用户名) 数据库名(缺省时同用户名) >/data/dum.sql 导出某个表pg_dump -h localhost -U postgres(用户名) 数据库名(缺省时同用户名) -t table(表名) >/data/dum.sql 压缩方法一般用dump导出数据会比较大，推荐使用xz压缩压缩方法 xz dum.sql 会生成 dum.sql.xz 的文件 xz压缩数据倒数数据库...

PostgreSQL学习手册(常用数据类型)

一、数值类型：下面是PostgreSQL所支持的数值类型的列表和简单说明：名字存储空间描述范围smallint2 字节小范围整数-32768 到 +32767integer4 字节常用的整数-2147483648 到 +2147483647bigint8 字节大范围的整数-9223372036854775808 到 9223372036854775807decimal变长用户声明精度，精确无限制numeric变长用户声明精度，精确无限制real4 字节变精度，不精确6 位十进制数字精度double8 字节变精度，不精确15 位十进制数字精...

postgresql 函数demo【代码】

create or replace function refresh_product_usage() returns void as $$ declarerec record;sub_rec record;init_pro_id integer;parent_product_id integer;now_bom_id integer;total_product_qty float;cinsider_efficiency boolean:=true;beginTRUNCATE TABLE product_usage; for rec in select id,bom_id,product_id,product_qty,product_efficiency from mrp_bom where bom_id is not null loopnow_bom_id:=rec.bom_id;t...

PostgreSQL 慢查询SQL语句跟踪

示例：启用 SQL 跟踪PostgreSQL 日志支持的输出格式有 stderr（默认）, csvlog , syslog一般的错误跟踪，只需在配置文件【postgresql.conf】简单设置几个参数，当然还有错误级别等要设置。logging_collector = onlog_destination = ‘stderr‘log_directory = ‘log‘log_filename = ‘postgresql-%Y-%m-%d_%H%M%S.log‘SELECT name,setting,vartype,boot_val,reset_val FROM pg_settings where name in(‘logging_collector‘,‘...

postgresql-行级安全-RLS【代码】

行级安全-RLS行级安全策略9.5版本新增的特性，该特性是在数据库授权体系下提供的更细粒度的控制。通俗的说就是不同用户可以看到表中不同的数据，这种控制是行级别的9.5以前的数据库安全技术是通过grant/revoke来实现的，这两个指令提供了对象级的安全限制，针对表还有列级别的安全限制。所有对数据的操作，暴扣数据查询和更新，都受策略的限制，如果没有配置安全策略，所有的查询和更新都会禁止，但是对全表进行操作的命令，trunca...

CentOS8安装PostgreSQL12【代码】

1.PostgreSQL的安装1.1 下载并安装PostgreSQL官方yum源配置文件dnf installhttps://download.postgresql.org/pub/repos/yum/reporpms/EL-8-x86_64/pgdg-redhat-repo-latest.noarch.rpm1.2 禁用系统内置yum源的PostgreSQL安装模块PostgreSQL官方的yum源配置文件提供了PostgreSQL12/11/10/9.6/9.5共5个版本的配置信息，一般情况下我们只使用计划安装版本的配置信息，禁用不需要的配置信息可以提高下载速度。要安装12版，可以禁用11/1...

如何取得select结果数据集的前10条记录。postgresql

我用的是POSTGRESQL。select name from t_personal order by personal_id desc我想取得上面结果数据的，前10条记录。SQL语句怎么改。我记得好象SQLSERVER是。select top 10 ....,什么的。谁知道POSTGRESQL怎么写 select name from t_personal order by personal_id desc limit 10原文：https://www.cnblogs.com/telwanggs/p/10688291.html

安装postgresql11.5【代码】

root身份安装创建用户编译安装成功后，接下来要做的就是创建一个普通用户，因为默认超级用户（root）不能启动postgresql，所以需要创建一个普通用户来启动数据库，执行以下命令创建用户：[root@localhost build_dir]# groupadd postgres [root@localhost build_dir]# useradd -g postgres postgres [root@localhost build_dir]# passwd postgres接下来设置权限，将pg的数据目录全部赋给postgres用户，执行以下命令：[root@localhos...

PostgreSQL中的引号和null【代码】【图】

今天工作时写了一个sql，但是PostgreSQL总是提示有语法错误,简单的做个记录：问题1、‘‘ 和“”单引号和双引号举个例子：1 #1、select id, delivery_date, sal_plan_date from zaiko_shop where id=""; 2 #2、select id, delivery_date, sal_plan_date from zaiko_shop where id=‘‘; 上面的两句sql中不同的知识#1用的是双引号，#2用的是单引号但是#1却会报错：上面的这个问题就提示我们在写sql语句时尽量这...

PostgreSQL安装详细步骤（windows）

PostgreSQL安装：一、windows下安装过程安装介质：postgresql-9.1.3-1-windows.exe（46M），安装过程非常简单，过程如下：1、开始安装：2、选择程序安装目录：注：安装 PostgreSQL 的分区最好是 NTFS 格式的。PostgreSQL 首要任务是要保证数据的完整性，而 FAT 和 FAT32 文件系统不能提供这样的可靠性保障，而且 FAT 文件系统缺乏安全性保障，无法保证原始数据在未经授权的情况下被更改。此外，PostgreSQL 所使用的"多分点"功能完成...

postgresql 日期格式【代码】【图】

在PG中，关于日期时间的有如下几种方法select now(),CURRENT_DATE,CURRENT_TIME,CURRENT_TIMESTAMP ;显示结果如下： SELECT to_char(now(),‘YYYY-MM-DD HH24:MI:SS‘) now; now 2020-04-0815:42:11 SELECT to_char(CURRENT_DATE,‘YYYY-MM-DD HH24:MI:SS‘) asCURRENT_DATE; CURRENT_DATE2020-04-0800:00:00CURRENT_TIME暂不能进行to_char格式化SELECT to_char(CURRENT_TIMESTAMP,‘YYYY-MM-DD HH24:MI:SS‘) asCURRENT_TIMESTA...

Navicat Premium连接PostgreSQL【图】

连接PostgreSQL时，报错大致意思：你当前的IP没有连接权限，在文件pg_hba中缺少当前IP的配置解决：找你的PostgreSQL安装路径，这是我的：C:\Program Files\PostgreSQL\9.5\data ，找到pg_hba.conf 这个文件，文本打开，在文本内容的最后面、红框内的内容，是完全复制上一行的，数字全部修改为0，其他的都不需要修改。保存关闭再次尝试连接...成功了！原文：http://www.cnblogs.com/webonline/p/6525076.html

首页 / POSTGRCSQL / postgresql-行级安全-RLS

postgresql-行级安全-RLS

内容导读

内容图文

行级安全-RLS

行级安全策略

语法

内容总结

内容备注

内容手机端

【postgresql-行级安全-RLS】教程文章相关的互联网学习教程文章

POST - 相关标签

安全 - 相关标签

POSTGRCSQL - 技术教程分类

POSTGRCSQL - 最新教程

POSTGRCSQL - 最热教程