描述

GRANT命令把对象（表、视图、序列、数据库、函数、过程语言或模式）上的特定权限授予一个或多个用户或用户组。这些权限会叠加在已有权限（如果有）之上。

关键字PUBLIC表示权限将授予所有用户，包括以后可能创建的用户。可以把PUBLIC看作一个隐式定义的、始终包含所有用户的组。注意，任何特定用户所拥有的权限，是他直接被授予的权限、他被授予的当前所属各组的权限，以及授予PUBLIC的权限之和。

无需把权限授予对象的创建者，因为创建者默认拥有所有权限。（不过，创建者也可以出于安全考虑选择撤销他自己的某些权限。）注意，授予和撤销权限的能力是创建者固有的，不会丢失。删除对象或以任何方式更改对象的权利（不属于可授予的权限）同样是创建者固有的，不能被授予或撤销。

取决于对象的类型，初始的默认权限可能包括把某些权限授予PUBLIC。默认情况下：表和模式没有公共访问权限；数据库有创建TEMP（临时）表的权限；函数有EXECUTE权限；语言有USAGE权限。对象的创建者当然可以撤销这些权限。（为了最大程度的安全，应在创建对象的同一事务中发出REVOKE；这样就不存在其他用户可以使用该对象的窗口期。）

可能的权限有：

其他命令所需的权限列在各自命令的参考页上。

注意

REVOKE命令用于撤销访问权限。

应当注意，数据库超级用户可以访问所有对象，而不受对象权限设置的限制。这与 Unix 系统中root的权利类似。与root一样，除非绝对必要，以超级用户身份操作是不明智的。

目前，在PostgreSQL中要只对少数几个列授予权限，必须创建一个包含所需列的视图，然后把权限授予该视图。

使用psql的\dp命令获取现有权限的信息，例如：

lusitania=> \dp mytable

        Access privileges for database "lusitania"
 Schema |  Table  |           Access privileges
--------+---------+---------------------------------------
 public | mytable | {=r,miriam=arwdRxt,"group todos=arw"}
(1 row)

\dp显示的各项的含义如下：

              =xxxx -- privileges granted to PUBLIC
         uname=xxxx -- privileges granted to a user
   group gname=xxxx -- privileges granted to a group

                  r -- SELECT ("read")
                  w -- UPDATE ("write")
                  a -- INSERT ("append")
                  d -- DELETE
                  R -- RULE
                  x -- REFERENCES
                  t -- TRIGGER
                  X -- EXECUTE
                  U -- USAGE
                  C -- CREATE
                  T -- TEMPORARY
            arwdRxt -- ALL PRIVILEGES (for tables)

上面的示例输出是用户miriam在创建表mytable并执行

GRANT SELECT ON mytable TO PUBLIC;
GRANT SELECT,UPDATE,INSERT ON mytable TO GROUP todos;

之后将会看到的。

如果某个对象的“访问权限”列为空，表示该对象拥有默认权限（即其权限字段为 NULL）。默认权限总是包含拥有者的所有权限，并且根据对象类型，可能像上面解释的那样包含授予PUBLIC的某些权限。对对象的第一次GRANT或REVOKE会把默认权限实例化（例如产生{=,miriam=arwdRxt}），然后按指定的请求修改它们。

示例

把表 films 上的插入权限授予所有用户：

GRANT INSERT ON films TO PUBLIC;

把视图kinds上的所有权限授予用户manuel：

GRANT ALL PRIVILEGES ON kinds TO manuel;

兼容性

GRANT privilege [, ...]
    ON object [ ( column [, ...] ) ] [, ...]
    TO { PUBLIC | username [, ...] } [ WITH GRANT OPTION ]

另见

REVOKE