描述

GRANT 命令有两个基本变体：一种是在数据库对象（表、列、视图、外部表、序列、数据库、外部数据包装器、外部服务器、函数、过程、过程语言、大对象、配置参数、模式、表空间或类型）上授予权限，另一种是授予角色成员资格。这两种变体在许多方面相似，但差异也足够大，因此分别说明。

注解

REVOKE 命令用于撤销访问权限。

从 PostgreSQL 8.1 起，用户和组的概念已统一为一种称为角色的单一实体。因此，不再需要使用关键字 GROUP 来标识被授权者是用户还是组。GROUP 仍可出现在命令中，但它只是一个噪声词。

如果用户对某一列本身，或者对其所在整张表拥有该权限，就可以在该列上执行 SELECT、INSERT 等操作。在表级授予某项权限后，再在单列上撤销该权限，并不会产生人们可能期望的效果：表级授权不会受到列级操作的影响。

当对象的非拥有者试图在该对象上执行 GRANT 时，如果该用户在该对象上完全没有任何权限，命令会立即失败。只要有某项权限可用，命令就会继续执行，但只会授予那些该用户持有授予选项的权限。如果未持有任何授予选项，GRANT ALL PRIVILEGES 形式会发出警告；而其他形式如果命令中特别列出的任一权限未持有其授予选项，也会发出警告。（原则上，这些说明也适用于对象拥有者；但由于拥有者总是被视为持有全部授予选项，这种情况实际上不会发生。）

需要注意，数据库超级用户可以访问所有对象，而不受对象权限设置的影响。这可类比于 Unix 系统中的 root 权限。和 root 一样，除非绝对必要，否则不宜以超级用户身份操作。

如果超级用户选择执行 GRANT 或 REVOKE 命令，该命令会像由受影响对象的拥有者发出一样执行。特别是，通过这种命令授予的权限看起来会像是由对象拥有者授予的。（对于角色成员资格，则看起来像是由引导超级用户授予的。）

GRANT 和 REVOKE 也可以由并非受影响对象拥有者的角色执行，只要该角色是拥有该对象之角色的成员，或者是持有该对象上 WITH GRANT OPTION 权限之角色的成员。在这种情况下，权限会记录为由实际拥有该对象的角色，或者由持有 WITH GRANT OPTION 权限的角色授予。例如，如果表 t1 由角色 g1 拥有，而角色 u1 是它的成员，那么 u1 可以把 t1 上的权限授予给 u2，但这些权限看起来会像是直接由 g1 授予的。角色 g1 的任何其他成员之后都可以撤销这些权限。

如果执行 GRANT 的角色通过多条角色成员资格路径间接持有所需权限，则系统不会指明会被记录为执行该授权的是哪一个上层角色。在这种情况下，最佳做法是使用 SET ROLE 切换成你希望作为其身份执行 GRANT 的那个具体角色。

在表上授予权限，并不会自动把权限扩展到该表使用的任何序列，包括绑定到 SERIAL 列的序列。序列上的权限必须单独设置。

使用 psql 的 \dp 命令可以获取表和列的现有权限信息。例如：

=> \dp mytable
                              Access privileges
 Schema |  Name   | Type  |   Access privileges   | Column access privileges 
--------+---------+-------+-----------------------+--------------------------
 public | mytable | table | miriam=arwdDxt/miriam | col1:
                          : =r/miriam             :   miriam_rw=rw/miriam
                          : admin=arw/miriam        
(1 row)

由 \dp 显示的条目解释如下：

rolename=xxxx -- privileges granted to a role
        =xxxx -- privileges granted to PUBLIC

            r -- SELECT ("read")
            w -- UPDATE ("write")
            a -- INSERT ("append")
            d -- DELETE
            D -- TRUNCATE
            x -- REFERENCES
            t -- TRIGGER
            X -- EXECUTE
            U -- USAGE
            C -- CREATE
            c -- CONNECT
            T -- TEMPORARY
      arwdDxt -- ALL PRIVILEGES (for tables, varies for other objects)
            * -- grant option for preceding privilege

        /yyyy -- role that granted this privilege

上例中的显示结果会出现在用户 miriam 创建表 mytable 并执行以下命令之后：

GRANT SELECT ON mytable TO PUBLIC;
GRANT SELECT, UPDATE, INSERT ON mytable TO admin;
GRANT SELECT (col1), UPDATE (col1) ON mytable TO miriam_rw;

对于非表对象，还有其他\d命令可以显示其权限。

如果某个对象的“Access privileges”列为空，表示该对象具有默认权限（即其权限列为 null）。默认权限始终包括所有者的全部权限，并且可能根据对象类型包含授予PUBLIC的某些权限，如上所述。在对象上首次执行GRANT或REVOKE时，会先实例化默认权限（例如生成{miriam=arwdDxt/miriam}），然后根据指定请求修改它们。同样，“Column access privileges”中也只会显示具有非默认权限的列的条目。（注意：此处的“默认权限”始终指该对象类型的内置默认权限。权限受ALTER DEFAULT PRIVILEGES命令影响的对象，始终会显示显式权限条目，其中包含ALTER的效果。）

注意，访问权限显示中不会标记所有者隐含的授权选项。只有在显式向某人授予授权选项时，才会出现*。

示例

将表 films 上的插入权限授予所有用户：

GRANT INSERT ON films TO PUBLIC;

将视图 kinds 上的所有可用权限授予用户 manuel：

GRANT ALL PRIVILEGES ON kinds TO manuel;

请注意，如果上述命令由超级用户或 kinds 的拥有者执行，确实会授予所有权限；但如果由其他人执行，则只会授予该执行者持有授予选项的那些权限。

将角色 admins 的成员资格授予用户 joe：

GRANT admins TO joe;

兼容性

根据 SQL 标准，ALL PRIVILEGES 中的 PRIVILEGES 关键字是必需的。SQL 标准也不支持每条命令对多个对象设置权限。

PostgreSQL 允许对象拥有者撤销自己的普通权限：例如，表拥有者可以通过撤销自己的 INSERT、UPDATE、DELETE 和 TRUNCATE 权限，使该表对自己变成只读。这在 SQL 标准中是不可能的。原因是 PostgreSQL 把拥有者的权限视为拥有者授予给自己的；因此他们也可以撤销这些权限。在 SQL 标准中，拥有者的权限由一个假定实体 “_SYSTEM” 授予。由于拥有者并不是 “_SYSTEM”，因此不能撤销这些权利。

根据 SQL 标准，授予选项可以授予给 PUBLIC；PostgreSQL 只支持将授予选项授予给角色。

SQL 标准允许将GRANTED BY选项用于所有形式的GRANT。PostgreSQL 仅在授予角色成员资格时支持它，即使如此，也只有超级用户可以用它指定其他授权者。

SQL 标准还为其他种类的对象提供 USAGE 权限：字符集、排序规则、翻译。

在 SQL 标准中，序列只有 USAGE 这一项权限，它控制 NEXT VALUE FOR 表达式的使用；该表达式等价于 PostgreSQL 中的 nextval 函数。序列上的 SELECT 和 UPDATE 权限都是 PostgreSQL 扩展。把序列的 USAGE 权限应用到 currval 函数上也是 PostgreSQL 扩展（该函数本身也是扩展）。

数据库、表空间、模式、语言以及配置参数上的权限都是 PostgreSQL 扩展。

参见