?
Dokumen ini menggunakan Manual laman web PHP Cina Lepaskan
GRANT
Name
GRANT?--?SQL-GRANTSynopsis
GRANT { { SELECT | INSERT | UPDATE | DELETE | TRUNCATE | REFERENCES | TRIGGER }
[,...] | ALL [ PRIVILEGES ] }
ON { [ TABLE ] table_name [, ...]
| ALL TABLES IN SCHEMA schema_name [, ...] }
TO { [ GROUP ] role_name | PUBLIC } [, ...] [ WITH GRANT OPTION ]
GRANT { { SELECT | INSERT | UPDATE | REFERENCES } ( column [, ...] )
[,...] | ALL [ PRIVILEGES ] ( column [, ...] ) }
ON [ TABLE ] table_name [, ...]
TO { [ GROUP ] role_name | PUBLIC } [, ...] [ WITH GRANT OPTION ]
GRANT { { USAGE | SELECT | UPDATE }
[,...] | ALL [ PRIVILEGES ] }
ON { SEQUENCE sequence_name [, ...]
| ALL SEQUENCES IN SCHEMA schema_name [, ...] }
TO { [ GROUP ] role_name | PUBLIC } [, ...] [ WITH GRANT OPTION ]
GRANT { { CREATE | CONNECT | TEMPORARY | TEMP } [,...] | ALL [ PRIVILEGES ] }
ON DATABASE database_name [, ...]
TO { [ GROUP ] role_name | PUBLIC } [, ...] [ WITH GRANT OPTION ]
GRANT { USAGE | ALL [ PRIVILEGES ] }
ON FOREIGN DATA WRAPPER fdw_name [, ...]
TO { [ GROUP ] role_name | PUBLIC } [, ...] [ WITH GRANT OPTION ]
GRANT { USAGE | ALL [ PRIVILEGES ] }
ON FOREIGN SERVER server_name [, ...]
TO { [ GROUP ] role_name | PUBLIC } [, ...] [ WITH GRANT OPTION ]
GRANT { EXECUTE | ALL [ PRIVILEGES ] }
ON { FUNCTION function_name ( [ [ argmode ] [ arg_name ] arg_type [, ...] ] ) [, ...]
| ALL FUNCTIONS IN SCHEMA schema_name [, ...] }
TO { [ GROUP ] role_name | PUBLIC } [, ...] [ WITH GRANT OPTION ]
GRANT { USAGE | ALL [ PRIVILEGES ] }
ON LANGUAGE lang_name [, ...]
TO { [ GROUP ] role_name | PUBLIC } [, ...] [ WITH GRANT OPTION ]
GRANT { { SELECT | UPDATE } [,...] | ALL [ PRIVILEGES ] }
ON LARGE OBJECT loid [, ...]
TO { [ GROUP ] role_name | PUBLIC } [, ...] [ WITH GRANT OPTION ]
GRANT { { CREATE | USAGE } [,...] | ALL [ PRIVILEGES ] }
ON SCHEMA schema_name [, ...]
TO { [ GROUP ] role_name | PUBLIC } [, ...] [ WITH GRANT OPTION ]
GRANT { CREATE | ALL [ PRIVILEGES ] }
ON TABLESPACE tablespace_name [, ...]
TO { [ GROUP ] role_name | PUBLIC } [, ...] [ WITH GRANT OPTION ]
GRANT role_name [, ...] TO role_name [, ...] [ WITH ADMIN OPTION ]
描述
GRANT命令有兩個基本變種：一個變種是給數(shù)據(jù)庫對象(表、字段、視圖、序列、數(shù)據(jù)庫、foreign-data wrapper、foreign server、函數(shù)、 過程語言、模式、表空間)賦予權限；一個變種是賦予一個角色中的成員關系。 這些變種在很多方面都非常類似，但是它們之間的區(qū)別也有足夠理由來分開描述。
在數(shù)據(jù)庫對象上的GRANT
這個變種的GRANT命令在數(shù)據(jù)庫對象上給一個或多個角色授予特定的權限。這些權限追加到已經(jīng)授予的權限上。
也有一個選項是將權限授予一個或者兩個模式內(nèi)的名稱類型的所有對象。該功能目前僅支持 表、序列和函數(shù)（請注意 ALL TABLES被認為是包括視圖的）。
關鍵字PUBLIC表示該權限要賦予所有角色，包括那些以后可能創(chuàng)建的用戶。 PUBLIC可以看做是一個隱含定義好的組， 它總是包括所有角色。任何特定的角色都將擁有直接賦予他/它的權限，加上他/它所處的任何組， 以及再加上賦予PUBLIC的權限的總和。
如果聲明了WITH GRANT OPTION，那么權限的接收者也可以將此權限賦予他人， 否則就不能授權他人。這個選項不能賦予PUBLIC。
沒必要將權限授予一個對象的所有者（通常是創(chuàng)建它的用戶），因為所有者缺省就持有所有權限。 （不過，所有者出于安全考慮可以選擇廢棄一些他自己的權限。）
刪除一個對象的權力，或者是任意修改它的權力都不是可賦予的權限；它是創(chuàng)建者固有的， 并且不能賦予或撤銷。( 然而，授予或撤銷擁有對象的角色的成員關系可以獲得相似的效果； 請看下面的。）所有者也隱含地擁有該對象的所有授權選項。
根據(jù)對象的不同，初始的缺省權限包括一些賦予PUBLIC的權限：對于表、字段、模式、表空間沒有公開訪問權限； 對于數(shù)據(jù)庫有CONNECT權限和創(chuàng)建TEMP表的權限；對于函數(shù)有EXECUTE權限；對于語言有USAGE權限。 對象所有者當然可以撤回這些權限。出于最大安全性考慮， 在創(chuàng)建該對象的同一個事務中發(fā)出REVOKE就不會打開給別的用戶使用該對象的窗口。 同時，這些初始的默認權限設置可以通過使用ALTER DEFAULT PRIVILEGES 命令來設置。
可能的權限有:
- SELECT
允許來自列，或者特定表列出的特定列。視圖或者序列的SELECT。 也允許使用COPY。該權限也需要參考在UPDATE或者 DELETE中的既有列值。例如，該權限也允許使用
currval函數(shù)。對于大對象，該權限允許讀對象。- INSERT
允許一個新行的INSERT插入特定表中。如果特定列被列出， 僅僅那些指定的列可以被分配在INSERT命令中（而其他列會收到默認值）。 也允許COPY FROM。
- UPDATE
允許任意列的UPDATE，或者特定表列出的特定列。 （實際上，任意非平凡UPDATE命令也將請求SELECT權限， 因為必須參考表列以確定更新哪些行，和/或為列計算新值。）SELECT ... FOR UPDATE 和SELECT ... FOR SHARE也在至少一列上請求該權限， 比如，該權限允許
nextval和setval函數(shù)的使用。 對于大對象，該權限允許寫或者截該對象。- DELETE
允許來自特定列的一行的DELETE。 （實際上，任意非平凡DELETE命令也將請求 SELECT權限， 因為必須參考表列來決定刪除哪一行）。
- TRUNCATE
允許特定表上的TRUNCATE。
- REFERENCES
為了創(chuàng)建外鍵約束，有必要在參照列和被參照列都有該權限。該權限可以授予 一個表的所有列或者僅僅是特定列。
- TRIGGER
允許在聲明表上創(chuàng)建觸發(fā)器(參見CREATE TRIGGER語句)。
- CREATE
-
對于數(shù)據(jù)庫，允許在該數(shù)據(jù)庫里創(chuàng)建新的模式。
對于模式，允許在該模式中創(chuàng)建新的對象。要重命名一個現(xiàn)有對象，你必需擁有該對象并且對包含該對象的模式擁有這個權限。
對于表空間，允許在其中創(chuàng)建表，索引，和臨時文件的時候把該表空間指定為其缺省表空間。 請注意，撤銷這個權限不會改變現(xiàn)有數(shù)據(jù)庫和模式的存放位置。
- CONNECT
允許用戶連接到指定的數(shù)據(jù)庫。該權限將在連接啟動時檢查(除了檢查 pg_hba.conf中的任何限制之外)。
- TEMPORARY
TEMP 允許在使用指定數(shù)據(jù)庫的時候創(chuàng)建臨時表。
- EXECUTE
允許使用指定的函數(shù)并且可以使用任何利用這些函數(shù)實現(xiàn)的操作符。這是適用于 函數(shù)的唯一權限。該語法同樣適用于聚集函數(shù)。
- USAGE
-
對于過程語言，允許使用指定過程語言創(chuàng)建該語言的函數(shù)。這是適用于過程語言的唯一權限。
對于模式，允許訪問包含在指定模式中的對象(假設該對象的所有權要求同樣也設置了)。 最終這些就允許了權限接受者"查詢"模式中的對象。沒有這個權限仍然可以 看見這些對象的名字(比如通過查詢系統(tǒng)視圖)。 同樣，撤銷該權限之后，現(xiàn)有的后端可能有在查找之前就執(zhí)行了的語句，因此這不是一個 很安全的限制對象訪問的方法。
對于序列，該權限允許使用
currval和nextval函數(shù)。對于外部數(shù)據(jù)封裝器，該特權確保承受者使用外部數(shù)據(jù)封裝器創(chuàng)建新服務器。
對于服務器，該權限確保承受者能創(chuàng)建、更改和刪除與那個服務器關聯(lián)的 其自身用戶的用戶映射。另外，確保承受者查詢服務器選項并聯(lián)合用戶映射。
- ALL PRIVILEGES
一次性給予所有可以賦予的權限。PRIVILEGES關鍵字在 PostgreSQL里是可選的，但是嚴格的SQL要求有這個關鍵字。
其它命令要求的權限都在相應的命令的參考頁上列出。
角色上的GRANT
這個變種的GRANT命令把一個角色的成員關系賦予一個或多個其它角色。 角色里的成員關系很重要， 因為它會將賦予該角色的權限傳播給所有該角色的成員。
如果聲明了WITH ADMIN OPTION，那么該成員隨后就可以將角色的成員 關系賦予其它角色，以及撤銷其它角色的成員關系。如果沒有admin選項，普通用戶就不能 這么做。不過，數(shù)據(jù)庫超級用戶可以給任何人賦與或者撤銷任何角色的任何成員關系。 擁有CREATEROLE權限的角色可以賦予或者撤銷任何非超級用戶角色的成員關系。
與權限不同，角色的成員關系不能被賦予PUBLIC。需要注意的是， 這種形式的命令不允許使用無意義的GROUP關鍵字。
注意
REVOKE命令用于刪除訪問權限。
自PostgreSQL8.1，用戶和群組的概念已經(jīng)被到統(tǒng)一到 一個稱作角色的單一類型的實體。因此，不再需要使用關鍵字GROUP來 確認被授權者是一個用戶還是一個用戶。GROUP在命令中仍然允許， 但這是一個噪音碼字。
一個用戶可能在一列上執(zhí)行SELECT, INSERT等等，若該用戶 持有對指定列或者其整個表的權限。在表級別授予權限并且之后對一列撤銷權限，這可能 無法達成您的希望：表級別的授權是不受列級別操作的影響。
如果非對象所有者企圖在對象上GRANT權限，而該用戶沒有該對象上指定的權限， 那么命令將立即失敗。 只要有某些可用的權限，該命令就會繼續(xù)，但是它只授予那些該用戶有授權選項的權限。 如果沒有可用的授權選項，那么GRANT ALL PRIVILEGES形式將發(fā)出一個警告信息， 其它命令形式將發(fā)出在命令中提到的、但是沒有授權選項的那些權限相關的警告信息。 這些語句原則上也適用于對象所有者，但是因為所有者總是被認為擁有所有授權選項， 所以這種情況永遠不會發(fā)生在所有者身上。
要注意數(shù)據(jù)庫超級用戶可以訪問所有對象，而不會受對象的權限設置影響。這個特點類似 Unix系統(tǒng)的root的權限。 和root一樣，除了必要的情況，總是以超級用戶身份進行操作是不明智的做法。
如果一個超級用戶選擇發(fā)出一個GRANT或REVOKE命令，那么這條命 令將是以被影響對象的所有者的形式執(zhí)行的。特別是，通過這種方法賦與的權限將顯得好像是 由對象所有者賦與的。對于角色成員關系，成員關系的賦與就會像是通過包含角色自己賦與的一樣。
GRANT和REVOKE也可以不由被影響對象的所有者來執(zhí)行，而是由擁有 該對象的角色的一個成員來執(zhí)行， 或者是一個在該對象上持有WITH GRANT OPTION權限的角色的成員。在這種 情況下，該權限將被紀錄為是由實際擁有該對象或者持有WITH GRANT OPTION 權限的對象賦與的。比如，如果表t1被角色g1擁有，并且u1 是g1的一個成員，然后u1可以把t1的權限賦予u2， 但是這些權限將表現(xiàn)為是由g1直接賦予的。任何g1角色的成員都可以在之后撤銷這些權限。
如果執(zhí)行GRANT的角色所持有的所需權限是通過角色成員關系間接獲得的， 那么究竟是那個角色將被紀錄為賦予權限的角色就是未知的。在這種情況下， 最好的方法是使用SET ROLE成為你想執(zhí)行GRANT命令的指定角色。
在一個表上授權許可不會自動擴展許可到任何表使用的序列，包括關聯(lián)到SERIAL列上的 序列。序列上的權限必須另行設置。
使用psql's \dp命令 來獲取關于對表和列的現(xiàn)有權限的信息。例如：
=> \dp mytable
Access privileges
Schema | Name | Type | Access privileges | Column access privileges
--------+---------+-------+-----------------------+--------------------------
public | mytable | table | miriam=arwdDxt/miriam | col1:
: =r/miriam : miriam_rw=rw/miriam
: admin=arw/miriam
(1 row)
\dp顯示的條目會被這樣解釋執(zhí)行:
rolename=xxxx -- privileges granted to a role
=xxxx -- privileges granted to PUBLIC
r -- SELECT ("read")
w -- UPDATE ("write")
a -- INSERT ("append")
d -- DELETE
D -- TRUNCATE
x -- REFERENCES
t -- TRIGGER
X -- EXECUTE
U -- USAGE
C -- CREATE
c -- CONNECT
T -- TEMPORARY
arwdDxt -- ALL PRIVILEGES (for tables, varies for other objects)
* -- grant option for preceding privilege
/yyyy -- role that granted this privilege
用戶miriam在建完mytable表之后再做下面的語句，就可以得到上面 例子的結(jié)果：
GRANT SELECT ON mytable TO PUBLIC; GRANT SELECT, UPDATE, INSERT ON mytable TO admin; GRANT SELECT (col1), UPDATE (col1) ON mytable TO miriam_rw;
對于非表對象有可以顯示其權限的其他\d命令。
若"Access privileges"列對于給定對象是空的，這意味著對象有默認權限（也就是說， 其權限列是空的）。默認權限總是包括對所有者的所有權限，并且包含依賴對象類型的 一些對PUBLIC的權限，如上所述。 一個對象上的第一個GRANT或者REVOKE將實例化默認的特權 （生產(chǎn)，例如{miriam=arwdDxt/miriam}）并且然后根據(jù)每個特定請求來 更改他們。類似地，條目僅僅對于沒有非默認權限的列顯示"Column access privileges"。 權限受ALTER DEFAULT PRIVILEGES命令影響的對象總是顯示為帶有包含 ALTER影響的顯式權限條目。
請注意所有者的隱含授權選項沒有在顯示出來的訪問權限里標記出來。只有在授權選項明確 地授予某人之后，才會顯示一個*。
示例
把表films的插入權限賦予所有用戶：
GRANT INSERT ON films TO PUBLIC;
賦予用戶manuel對視圖kinds的所有權限：
GRANT ALL PRIVILEGES ON kinds TO manuel;
請注意，如果上面的命令由超級用戶或者kinds的所有者執(zhí)行， 那么它實際上會賦予所有權限，如果由其他人執(zhí)行，那么它會賦予這個"其他人"擁有 授權選項的所有權限。
把角色admins的成員關系賦與用戶joe：
GRANT admins TO joe;
兼容性
根據(jù)SQL標準，在ALL PRIVILEGES里的PRIVILEGES 關鍵字是必須的。SQL標準不支持在一條命令里對多個表設置權限。
PostgreSQL允許一個對象所有者撤銷它自己的普通權限： 比如，一個表所有者可以讓自己對這個表是只讀的，方法是撤銷自己的INSERT， UPDATE，DELETE權限。根據(jù)SQL標準， 這是不可能的。原因是PostgreSQL把所有者的權限當作 由所有者給自己賦予的；因此也可以撤銷他們。在SQL標準里，所有者的權限是假設為 "_SYSTEM"實體賦予的。因為所有者不是"_SYSTEM"，所以他不能撤銷這些權限。
SQL 標準對其它類型的對象提供了一個 USAGE 權限：字符集、?？?、轉(zhuǎn)換、域。
在數(shù)據(jù)庫、表空間、模式、語言、序列上的權限是PostgreSQL擴展。