撤销用户对 DROP 表的权限

Question

我是 PostgreSQL 的忠实粉丝，但不知道它的某个方面是内置在用户管理中的。

我的问题是我已经设置了 pgAdmin 并且将有一些非开发人员手动更新某些特定表中的数据。为此，我创建了一个名为“admin”的新用户，并希望限制此用户的权限。

我已尝试使用以下查询（来自另一个用户）删除用户的所有权限：

REVOKE ALL PRIVILEGES ON ALL TABLES IN SCHEMA public FROM admin;
REVOKE ALL PRIVILEGES ON ALL SEQUENCES IN SCHEMA public FROM admin;
REVOKE ALL PRIVILEGES ON ALL FUNCTIONS IN SCHEMA public FROM admin;

当我在名为“crap”的表上从用户 admin 编写一个简单的 SELECT 语句时，上面确实导致了以下错误：ERROR: permission denied for relation crap。

但是我现在能够对用户 admin 执行以下操作：DROP TABLE crap; 有效！？

我对此感到非常惊讶。此用户不是 Postgres 超级用户。如何删除此权限以删除特定用户的表？

Answer 1

您在权限层次结构中处于低一级。

REVOKE ALL PRIVILEGES FROM SCHEMA public FROM <role_name>;

您正在影响表中的权限。您还必须上一级架构以保护创建/删除访问。您可能还想撤销数据库级别的访问权限以保护架构。

REVOKE ALL PRIVILEGES FROM DATABASE <database_name> FROM <role_name>;

您也可以简单地删除用户。或者，您可以简单地禁用该用户的登录能力。

ALTER ROLE <role_name> SET NOLOGIN;

如果这些对您不起作用，您可以采用更复杂的方法并创建一个 event trigger 来监视 DROP TABLE 事件，与角色进行比较，并允许它继续或中止事务。

CREATE OR REPLACE FUNCTION no_admin_drop()
  RETURNS event_trigger LANGUAGE plpgsql AS $$
BEGIN
  IF CURRENT_USER = 'admin'::regrole THEN
    RAISE EXCEPTION 'command is disabled';
  END IF;
END;
$$;

CREATE EVENT TRIGGER no_admin_drop ON sql_drop
   EXECUTE FUNCTION no_admin_drop();