PostgreSQL 权限模型与角色体系
PostgreSQL 的权限管理体系以角色为核心，所有权限的分配、继承和回收都围绕角色展开。在 PostgreSQL 中，用户和角色的概念已经高度统一，一个可以登录数据库的账号本质上也是一个角色，而一个角色也可以被赋予登录属性。因此，在进行权限管理时，通常不会孤立地理解用户，而是从角色分组、角色成员关系和权限继承的角度进行设计。
从权限层级来看，PostgreSQL 的权限并不是单一维度的开关，而是分布在多个层面。例如，角色属性决定一个账号是否具备创建数据库、创建角色等能力；数据库级权限决定角色能否连接某个数据库，或者能否在该数据库中创建模式；对象级权限则作用在具体的表、视图、序列等数据库对象上。理解这些层级，有助于避免权限授予过大或权限不足的问题。
在实际运维和开发中，推荐先规划角色，再分配权限。例如，可以创建一个只读角色用于报表查询，再创建一个应用读写角色用于业务系统访问。具体登录账号通过加入这些角色获得对应能力，这样不仅便于统一管理，也能减少重复授权带来的维护成本。掌握 GRANT 和 REVOKE 的用法，是进行 PostgreSQL 权限管理的基础。
使用 GRANT 分配权限
PostgreSQL 中用于授权的核心语句是 GRANT。通过 GRANT，可以把数据库级权限或对象级权限授予指定角色。授权时需要明确三个要素：权限类型、作用对象和目标角色。只有这些信息完整，数据库才能在后续访问时正确判断某个角色是否具备执行某类操作的能力。
在实际使用中，授权语句通常由数据库对象属主、超级用户或拥有授权选项的角色执行。如果当前执行者本身没有对应权限，也没有获得允许继续授权的能力，那么授权操作会失败。因此，在生产环境中，建议将授权操作纳入数据库变更流程，避免随意开放敏感权限。
角色属性与数据库级权限
创建数据库、创建角色等能力通常属于角色属性，一般通过 ALTER ROLE 进行管理。这类能力与具体数据库对象无关，更多影响角色在整个 PostgreSQL 实例中的行为边界。对于需要严格控制的权限，例如超级用户属性，应当谨慎授予。
-- 将 role_name 设置为可创建数据库 ALTER ROLE role_name CREATEDB; -- 将 role_name 设置为可创建其他角色 ALTER ROLE role_name CREATEROLE; -- 超级用户拥有极高权限，应谨慎授予 ALTER ROLE role_name SUPERUSER; -- 授予连接目标数据库的权限 GRANT CONNECT ON DATABASE app_db TO role_name; -- 授予在目标数据库中创建模式的权限 GRANT CREATE ON DATABASE app_db TO role_name;
数据库级权限与角色属性并不相同。GRANT CONNECT ON DATABASE 决定角色能否连接到某个数据库，而 GRANT CREATE ON DATABASE 决定角色能否在该数据库中创建模式。如果角色无法连接目标数据库，即使拥有表级权限，也无法通过常规会话访问这些表。
表、序列等对象权限
对象权限是开发过程中最常接触的权限类型。以表为例，常见权限包括 SELECT、INSERT、UPDATE、DELETE、TRUNCATE、REFERENCES 和 TRIGGER。授权时应遵循最小可用原则，只开放业务真正需要的权限，而不是一次性授予全部权限。
-- 授予指定表的全部权限 GRANT ALL PRIVILEGES ON TABLE user_info TO app_user; -- 仅授予查询和插入权限 GRANT SELECT, INSERT ON TABLE user_info TO app_user; -- 仅授予更新权限 GRANT UPDATE ON TABLE user_info TO app_user; -- 授予序列的使用和查询权限 GRANT USAGE, SELECT ON SEQUENCE user_id_seq TO app_user;
如果希望所有角色都拥有某项权限，可以使用 PUBLIC。PUBLIC 并不是一个普通角色，而是代表所有角色的集合。由于其影响范围较大，通常只适合用于低敏感、公开读取的对象，不建议对写入类权限使用 PUBLIC。
-- 允许所有角色查询 test 表 GRANT SELECT ON TABLE test TO PUBLIC;
使用 REVOKE 回收权限
权限回收是权限管理中同样重要的一环。随着业务变化，某些账号可能不再需要写入权限，某些临时角色也可能不再需要访问敏感表。此时应使用 REVOKE 及时收回权限，避免残留权限造成误操作或安全风险。
REVOKE 的语法与 GRANT 基本对应，只是方向相反。授权时使用 TO 指定目标角色，回收时使用 FROM 指定来源角色。可以回收单个权限，也可以一次回收多个权限。
-- 回收 app_user 对 user_info 表的插入权限 REVOKE INSERT ON TABLE user_info FROM app_user; -- 回收 app_user 对 user_info 表的查询和更新权限 REVOKE SELECT, UPDATE ON TABLE user_info FROM app_user; -- 回收所有角色对 test 表的查询权限 REVOKE SELECT ON TABLE test FROM PUBLIC; -- 回收数据库连接权限 REVOKE CONNECT ON DATABASE app_db FROM role_name;
对于角色属性，回收方式与对象权限不同。例如取消创建数据库能力时，应使用 ALTER ROLE 将角色属性改回默认状态，而不是使用对象权限回收语句。
-- 取消创建数据库能力 ALTER ROLE role_name NOCREATEDB; -- 取消创建角色能力 ALTER ROLE role_name NOCREATEROLE; -- 取消超级用户属性 ALTER ROLE role_name NOSUPERUSER;
授权传递、权限验证与典型场景
在多人协作环境中，经常需要由负责人统一分配权限。PostgreSQL 支持在授权时附加 WITH GRANT OPTION，获得该选项的角色可以把对应权限再授予其他角色。如果没有该选项，角色只能自己使用权限，不能继续分发权限。
-- app_user 获得查询权限，并允许把查询权限授予其他角色 GRANT SELECT ON TABLE user_info TO app_user WITH GRANT OPTION; -- 若 app_user 需要把权限继续授予他人，可执行类似语句 GRANT SELECT ON TABLE user_info TO report_user;
授权后需要验证结果。在 psql 中，可以使用 du 查看角色列表和角色属性，使用 dp 查看表等对象的权限信息。若希望用 SQL 判断某个角色是否拥有特定权限，也可以借助权限判断函数。
-- 判断 app_user 是否拥有 user_info 表的查询权限
SELECT has_table_privilege('app_user', 'user_info', 'SELECT') AS can_select;
-- 判断 app_user 是否拥有 user_info 表的插入权限
SELECT has_table_privilege('app_user', 'user_info', 'INSERT') AS can_insert;
一个典型场景是：业务账号 app_user 需要访问 app_db 数据库中的 user_info 表，并且只允许查询和插入。此时应先确保账号能够连接数据库，再授予表级权限。若使用 psql，可先执行 c app_db 进入目标数据库，然后执行授权语句。
-- 假设当前会话已经位于 app_db 数据库
GRANT CONNECT ON DATABASE app_db TO app_user;
-- 授予 user_info 表的查询和插入权限
GRANT SELECT, INSERT ON TABLE user_info TO app_user;
-- 验证权限
SELECT has_table_privilege('app_user', 'user_info', 'SELECT') AS can_select,
has_table_privilege('app_user', 'user_info', 'INSERT') AS can_insert;
如果后续不再允许写入，只需要回收插入权限即可，查询权限仍可保留。这样可以在不影响数据读取的前提下，降低误写数据的风险。
-- 只回收插入权限，保留查询权限 REVOKE INSERT ON TABLE user_info FROM app_user;
- 执行授权操作的人必须是对象属主，或拥有相应权限以及授权选项。
- 授权默认不会自动传递，若需要二级授权，应显式使用
WITH GRANT OPTION。 - 删除角色前应先处理其权限和成员关系，避免权限残留或对象依赖问题。
- 排查权限问题时，可结合
du、dp和权限判断函数进行确认。
总体来看，PostgreSQL 赋权并不是简单地给账号开放所有能力，而是要根据角色职责划分权限边界。掌握 GRANT、REVOKE、角色属性和权限验证方法后，可以更稳妥地完成数据库账号管理。在实际使用中，建议定期复查高权限账号和敏感表授权，确保权限始终与当前业务需求保持一致。
postgresql数据库赋权grant语句角色权限revoke语句修改时间：2026-06-29 21:03:52