1 背景
行级访问控制特性将数据库的访问控制精确到数据表行级别 ，只允许用户查看 、更新或删除特定的行数据。
2 实例场景
实例以医生只能看到治疗的病人，不能看其它医生的病人为例：
1)医院病人的信息表pat_info：
csdn=> set search_path=csdn;
SET
csdn=>
csdn=> create table pat_info(patient varchar2(64),doctor varchar2(64),age int);
CREATE TABLE
csdn=> insert into pat_info(patient,doctor,age)values('peter','mary',25),('bob','mary',56),('julie','tom',38);
INSERT 0 3
csdn=>
csdn=> select * from pat_info;
patient | doctor | age
---------+--------+-----
peter | mary | 25
bob | mary | 56
julie | tom | 38
(3 rows)
csdn=>
2) 创建行级访问控制策略 ，使得医生只能查看属于自己的病 人信息 ，并打开表上的行级访问控制开关：
csdn=> CREATE ROW LEVEL SECURITY POLICY rl_select ON
csdn-> pat_info FOR select USING(doctor=current_user);
CREATE ROW LEVEL SECURITY POLICY
csdn=> alter table pat_info enable row level security;
ALTER TABLE
csdn=>
csdn=> \d+ pat_info;
Table "csdn.pat_info"
Column | Type | Modifiers | Storage | Stats target | Description
---------+-----------------------+-----------+----------+--------------+-------------
patient | character varying(64) | | extended | |
doctor | character varying(64) | | extended | |
age | integer | | plain | |
Row Level Security Policies:
POLICY "rl_select" FOR SELECT
TO public
USING (((doctor)::name = "current_user"()))
Has OIDs: no
Options: orientation=row, compression=no, storage_type=USTORE, segment=off, enable_rowsecurity=true
csdn=>
3) 创建两个用户tom,mary并授予usage与select权限;
[Ruby@dtest1 ~]$ gsql -h 192.168.0.71 -dcsdn -p8000 -U root -W '*******' -ar
gsql ((GaussDB Kernel 505.2.1 build 159cea95) compiled at 2024-12-27 09:22:44 commit 10161 last mr 21504 release)
SSL connection (cipher: ECDHE-RSA-AES128-GCM-SHA256, bits: 128)
Type "help" for help.
csdn=>
csdn=>
csdn=> create user mary password '*******';
CREATE ROLE
csdn=> create user tom password '*******';
CREATE ROLE
csdn=> grant usage on schema csdn to mary;
GRANT
csdn=> grant usage on schema csdn to tom;
GRANT
csdn=> grant select on csdn.pat_info to tom;
GRANT
csdn=> grant select on csdn.pat_info to mary;
GRANT
csdn=> \q
4）验证一下tom、mary用户查询结果
mary只能看到peter、bob两个病人。
[Ruby@dtest1 ~]$ gsql -h 192.168.0.71 -dcsdn -p8000 -U mary -W '******' -ar
gsql ((GaussDB Kernel 505.2.1 build 159cea95) compiled at 2024-12-27 09:22:44 commit 10161 last mr 21504 release)
SSL connection (cipher: ECDHE-RSA-AES128-GCM-SHA256, bits: 128)
Type "help" for help.
csdn=> set search_path=csdn;
SET
csdn=> select * from pat_info;
patient | doctor | age
---------+--------+-----
peter | mary | 25
bob | mary | 56
(2 rows)
csdn=> \q
tom只能看到julie
[Ruby@dtest1 ~]$ gsql -h 192.168.0.71 -dcsdn -p8000 -U tom -W '*****' -ar
gsql ((GaussDB Kernel 505.2.1 build 159cea95) compiled at 2024-12-27 09:22:44 commit 10161 last mr 21504 release)
SSL connection (cipher: ECDHE-RSA-AES128-GCM-SHA256, bits: 128)
Type "help" for help.
csdn=> set search_path=csdn;
SET
csdn=> select * from pat_info;
patient | doctor | age
---------+--------+-----
julie | tom | 38
(1 row)
csdn=>
3 行级别安全实现原理
1）行级访问控制的目的是控制表中行级数据可见性，通过在数据表上预定义Filter，在查询优化阶段将满足条件 的表达式应用到执行计划上，影响最终的执行结果。
2）当前受影响的SQL语句包括SELECT， UPDATE， DELETE 。
3）用户可以在数据表创建行访问控制（ Row Level Security）策略，当数据库用户对数据表访问时，若SQL满足 数据表特定的RLS策略，在查询优化阶段将满足条件的表达式，按照属性（ PERMISSIVE | RESTRICTIVE）类 型，通过OR或AND方式拼接，应用到执行计划上。
4 实现操作步骤
步骤1：打开行访问控制策略开关：
ALTER TABLE tablename ENABLE ROW LEVEL SECURITY;步骤2：创建行访问控制策略，当前用户只能查看用户自身的数据：
CREATE ROW LEVEL SECURITY POLICY tablename_rls ON tablename USING(role = CURRENT_USER);注意：tablename为所创建的表名， tablename_rls为创建的行级访问控制策略名。