PostgreSQL 为什么 ALTER DEFAULT PRIVILEGES 不如预期地起作用

在本文中，我们将介绍为什么 PostgreSQL 中的 ALTER DEFAULT PRIVILEGES 命令会出现不如预期的情况。ALTER DEFAULT PRIVILEGES 是 PostgreSQL 中一个重要的命令，它用于为未来创建的对象（如表、视图、函数等）设置默认权限。然而，在某些情况下，ALTER DEFAULT PRIVILEGES 可能不会按照预期的方式应用权限更改。

阅读更多：PostgreSQL 教程

为什么 ALTER DEFAULT PRIVILEGES 不能按预期工作？

ALTER DEFAULT PRIVILEGES 命令的不按预期工作可能与多个因素有关，包括对象所有者、命名空间（schema）、继承和特定角色的权限等。

对象所有者

PostgreSQL 中的对象所有者是指创建该对象的角色或用户。ALTER DEFAULT PRIVILEGES 命令只影响对象的默认权限，而不影响对象所有者的权限。这意味着如果对象所有者对一个具体对象没有相应的权限，即使使用 ALTER DEFAULT PRIVILEGES 修改了默认权限，也不会对该对象产生影响。

命名空间（schema）

在 PostgreSQL 中，命名空间（schema）是一种用于组织和管理对象的机制。ALTER DEFAULT PRIVILEGES 命令默认只应用于 public 命名空间中的对象。如果想要应用于其他命名空间的对象，需要明确指定命名空间。

以下是一个示例，展示了如何在 ALTER DEFAULT PRIVILEGES 命令中指定不同的命名空间：

ALTER DEFAULT PRIVILEGES FOR ROLE my_role IN SCHEMA my_schema GRANT SELECT ON TABLES TO my_user;

继承

继承是 PostgreSQL 中一个重要的特性，它允许子表继承父表的结构和默认权限。当使用 ALTER DEFAULT PRIVILEGES 为父表设置默认权限时，这些权限也会被应用到子表上。

以下是一个示例，展示了如何为父表和子表设置默认权限：

CREATE TABLE parent_table (id SERIAL, name VARCHAR);
CREATE TABLE child_table () INHERITS (parent_table);

ALTER DEFAULT PRIVILEGES FOR ROLE my_role GRANT SELECT ON TABLES TO my_user;

在上述示例中，为 my_role 角色设置了 SELECT 权限。当创建子表 child_table 时，子表也会继承父表的 SELECT 权限。

特定角色的权限

ALTER DEFAULT PRIVILEGES 命令只能通过超级用户或具有适当权限的角色执行。如果当前用户没有足够的权限，则无法按预期修改默认权限。

示例

为了更好地理解为什么 ALTER DEFAULT PRIVILEGES 命令可能不按预期工作，下面提供了一个示例。

假设我们有一个数据库中包含两个命名空间（schema）：public 和 sales。现在我们想要在 sales 命名空间中为新创建的表设置默认权限。我们可以使用以下命令来修改 ALTER DEFAULT PRIVILEGES：

ALTER DEFAULT PRIVILEGES FOR ROLE my_role IN SCHEMA sales GRANT SELECT, INSERT, UPDATE, DELETE ON TABLES TO my_user;

在这个例子中，我们期望在 sales 命名空间下创建的新表应该具有 SELECT、INSERT、UPDATE 和 DELETE 权限。然而，如果我们将当前数据库设置为 sales 命名空间，并创建一个新表，我们会发现默认权限没有按照预期工作。这是因为 ALTER DEFAULT PRIVILEGES 命令只会应用于 public 命名空间中创建的对象，而不会影响其他命名空间。

要解决这个问题，我们需要明确指定 ALTER DEFAULT PRIVILEGES 命令中的命名空间：

ALTER DEFAULT PRIVILEGES FOR ROLE my_role IN SCHEMA sales, public GRANT SELECT, INSERT, UPDATE, DELETE ON TABLES TO my_user;

通过这样的修改，我们就可以在 sales 命名空间中正常设置新表的默认权限了。

总结

本文介绍了为什么 PostgreSQL 中的 ALTER DEFAULT PRIVILEGES 命令可能不按预期工作。我们讨论了对象所有者、命名空间、继承和特定角色的权限等因素对 ALTER DEFAULT PRIVILEGES 命令的影响。最后，我们提供了一个示例来说明为什么 ALTER DEFAULT PRIVILEGES 命令可能不按预期工作，并给出了解决方案。通过理解和正确使用 ALTER DEFAULT PRIVILEGES 命令，我们可以更好地管理数据库对象的默认权限设置。