ALTER DEFAULT PRIVILEGES — 定义默认访问特权
ALTER DEFAULT PRIVILEGES [ FOR { ROLE | USER }target_role
[, ...] ] [ IN SCHEMAschema_name
[, ...] ]abbreviated_grant_or_revoke
whereabbreviated_grant_or_revoke
is one of: GRANT { { SELECT | INSERT | UPDATE | DELETE | TRUNCATE | REFERENCES | TRIGGER } [, ...] | ALL [ PRIVILEGES ] } ON TABLES TO { [ GROUP ]role_name
| PUBLIC } [, ...] [ WITH GRANT OPTION ] GRANT { { USAGE | SELECT | UPDATE } [, ...] | ALL [ PRIVILEGES ] } ON SEQUENCES TO { [ GROUP ]role_name
| PUBLIC } [, ...] [ WITH GRANT OPTION ] GRANT { EXECUTE | ALL [ PRIVILEGES ] } ON { FUNCTIONS | ROUTINES } TO { [ GROUP ]role_name
| PUBLIC } [, ...] [ WITH GRANT OPTION ] GRANT { USAGE | ALL [ PRIVILEGES ] } ON TYPES TO { [ GROUP ]role_name
| PUBLIC } [, ...] [ WITH GRANT OPTION ] GRANT { { USAGE | CREATE } [, ...] | ALL [ PRIVILEGES ] } ON SCHEMAS TO { [ GROUP ]role_name
| PUBLIC } [, ...] [ WITH GRANT OPTION ] REVOKE [ GRANT OPTION FOR ] { { SELECT | INSERT | UPDATE | DELETE | TRUNCATE | REFERENCES | TRIGGER } [, ...] | ALL [ PRIVILEGES ] } ON TABLES FROM { [ GROUP ]role_name
| PUBLIC } [, ...] [ CASCADE | RESTRICT ] REVOKE [ GRANT OPTION FOR ] { { USAGE | SELECT | UPDATE } [, ...] | ALL [ PRIVILEGES ] } ON SEQUENCES FROM { [ GROUP ]role_name
| PUBLIC } [, ...] [ CASCADE | RESTRICT ] REVOKE [ GRANT OPTION FOR ] { EXECUTE | ALL [ PRIVILEGES ] } ON { FUNCTIONS | ROUTINES } FROM { [ GROUP ]role_name
| PUBLIC } [, ...] [ CASCADE | RESTRICT ] REVOKE [ GRANT OPTION FOR ] { USAGE | ALL [ PRIVILEGES ] } ON TYPES FROM { [ GROUP ]role_name
| PUBLIC } [, ...] [ CASCADE | RESTRICT ] REVOKE [ GRANT OPTION FOR ] { { USAGE | CREATE } [, ...] | ALL [ PRIVILEGES ] } ON SCHEMAS FROM { [ GROUP ]role_name
| PUBLIC } [, ...] [ CASCADE | RESTRICT ]
ALTER DEFAULT PRIVILEGES
允许您设置将来创建的对象
所适用的权限。(它不会影响已存在对象的权限。)权限可以全局设置
(即,对当前数据库中创建的所有对象),或者仅针对在指定模式中创
建的对象。
虽然您可以更改自己的默认权限以及您所属角色的默认权限,但在对象创建 时,新对象的权限仅受当前角色的默认权限影响,而不会继承当前角色所属 的任何角色的权限。
如第 5.7 节中所述,用于任何对象类型的默认特权通常会把所有可授予的权限授予给对象拥有者,并且也可能授予一些特权给PUBLIC
。不过,这种行为可以通过使用ALTER DEFAULT PRIVILEGES
修改全局默认特权来改变。
当前,
只有模式、表(包括视图和外部表)、序列、函数和类型(包括域)的权限
可以被更改。对于此命令,函数包括聚合和过程。
词语FUNCTIONS
和ROUTINES
在此命令中是
等价的。(ROUTINES
是未来推荐使用的标准术语,用于统称
函数和过程。在早期的PostgreSQL版本中,只允许使用
词语FUNCTIONS
。无法分别为函数和过程设置默认权限。)
每个模式规定的默认权限将添加到特定对象类型的全局默认特权的内容中。
这意味着你不能撤销每个模式的特权,如果它们已经被全局授予(默认情况下,或者根据以前未规定模式的ALTER DEFAULT PRIVILEGES
命令)。
每个模式的REVOKE
仅用于反转以前每个模式GRANT
的影响。
使用psql的\ddp
命令可以获得关于默认特权的现有分配信息。
特权显示的含义和第 5.7 节中的\dp
描述的相同。
如果你希望删除一个默认特权被修改的角色,有必要撤销其默认特权上的改变或者使用DROP OWNED BY
来为该角色去除默认特权项。
为你后续在模式myschema
中创建的所有表(和视图)授予 SELECT 特权,并且也允许角色webuser
向它们之中 INSERT 数据:
ALTER DEFAULT PRIVILEGES IN SCHEMA myschema GRANT SELECT ON TABLES TO PUBLIC; ALTER DEFAULT PRIVILEGES IN SCHEMA myschema GRANT INSERT ON TABLES TO webuser;
撤销上面的动作,因此后续创建的表不会有任何不寻常的权限:
ALTER DEFAULT PRIVILEGES IN SCHEMA myschema REVOKE SELECT ON TABLES FROM PUBLIC; ALTER DEFAULT PRIVILEGES IN SCHEMA myschema REVOKE INSERT ON TABLES FROM webuser;
为后续由角色admin
创建的所有函数移除通常在函数上会授予的公共 EXECUTE 权限:
ALTER DEFAULT PRIVILEGES FOR ROLE admin REVOKE EXECUTE ON FUNCTIONS FROM PUBLIC;
但是注意你不能使用限制为单个模式的命令来实现该效果。
此命令不起作用,除非它撤消匹配的GRANT
:
ALTER DEFAULT PRIVILEGES IN SCHEMA public REVOKE EXECUTE ON FUNCTIONS FROM PUBLIC;
这是因为每个模式的默认特权只能向全局设置添加特权,而不能移除它授予的特权。
在 SQL 标准中没有ALTER DEFAULT PRIVILEGES
语句。