描述

GRANT命令有两种基本变体：一种用于授予数据库对象（表、视图、序列、数据库、函数、过程语言、模式或表空间）上的权限，另一种用于授予角色的成员资格。这两种变体在许多方面很相似，但差别也足够大，因此分别介绍。

从 PostgreSQL 8.1 起，用户和组的概念已统一为一种称为角色的单一实体。因此，不再需要使用 GROUP 关键字来区分权限接收者是用户还是组。命令中仍然允许 GROUP，但它只是一个无实际意义的词。

注解

REVOKE 命令用于撤销访问权限。

当对象的非拥有者试图在该对象上执行 GRANT 时，如果该用户在该对象上完全没有任何权限，命令会立即失败。只要有某项权限可用，命令就会继续执行，但只会授予那些该用户持有授予选项的权限。如果未持有任何授予选项，GRANT ALL PRIVILEGES 形式会发出警告；而其他形式如果命令中特别列出的任一权限未持有其授予选项，也会发出警告。（原则上，这些说明也适用于对象拥有者；但由于拥有者总是被视为持有全部授予选项，这种情况实际上不会发生。）

需要注意，数据库超级用户可以访问所有对象，而不受对象权限设置的影响。这可类比于 Unix 系统中的 root 权限。和 root 一样，除非绝对必要，否则不宜以超级用户身份操作。

如果超级用户选择执行 GRANT 或 REVOKE 命令，该命令会像由受影响对象的拥有者发出一样执行。特别是，通过这种命令授予的权限看起来会像是由对象拥有者授予的。（对于角色成员资格，则看起来像是由被授予成员资格的角色本身授予的。）

GRANT 和 REVOKE 也可以由并非受影响对象拥有者的角色执行，只要该角色是拥有该对象之角色的成员，或者是持有该对象上 WITH GRANT OPTION 权限之角色的成员。在这种情况下，权限会记录为由实际拥有该对象的角色，或者由持有 WITH GRANT OPTION 权限的角色授予。例如，如果表 t1 由角色 g1 拥有，而角色 u1 是它的成员，那么 u1 可以把 t1 上的权限授予给 u2，但这些权限看起来会像是直接由 g1 授予的。角色 g1 的任何其他成员之后都可以撤销这些权限。

如果执行 GRANT 的角色通过多条角色成员资格路径间接持有所需权限，则系统不会指明会被记录为执行该授权的是哪一个上层角色。在这种情况下，最佳做法是使用 SET ROLE 切换成你希望作为其身份执行 GRANT 的那个具体角色。

在表上授予权限，并不会自动把权限扩展到该表使用的任何序列，包括绑定到 SERIAL 列的序列。序列上的权限必须单独设置。

目前，PostgreSQL不支持授予或撤销表中单个列上的权限。一种可能的变通办法是创建一个只包含所需列的视图，然后把权限授予该视图。

使用 psql 的 \z 命令可以获取现有权限的信息。例如：

=> \z mytable
                  Access privileges for database "lusitania"
 Schema |  Name   | Type  |                 Access privileges                 
--------+---------+-------+---------------------------------------------------
 public | mytable | table | {miriam=arwdxt/miriam,=r/miriam,admin=arw/miriam}
(1 row)

由 \z 显示的条目解释如下：

      rolename=xxxx -- privileges granted to a role
              =xxxx -- privileges granted to PUBLIC

                  r -- SELECT ("read")
                  w -- UPDATE ("write")
                  a -- INSERT ("append")
                  d -- DELETE
                  x -- REFERENCES
                  t -- TRIGGER
                  X -- EXECUTE
                  U -- USAGE
                  C -- CREATE
                  c -- CONNECT
                  T -- TEMPORARY
             arwdxt -- ALL PRIVILEGES (for tables)
                  * -- grant option for preceding privilege

              /yyyy -- role that granted this privilege

上例中的显示结果会出现在用户 miriam 创建表 mytable 并执行以下命令之后：

GRANT SELECT ON mytable TO PUBLIC;
GRANT SELECT, UPDATE, INSERT ON mytable TO admin;

如果某个对象的“Access privileges”列为空，表示该对象具有默认权限（即其权限列为 null）。默认权限始终包括所有者的全部权限，并且可能根据对象类型包含授予PUBLIC的某些权限，如上所述。在对象上首次执行GRANT或REVOKE时，会先实例化默认权限（例如生成{miriam=arwdxt/miriam}），然后根据指定请求修改它们。

注意，访问权限显示中不会标记所有者隐含的授权选项。只有在显式向某人授予授权选项时，才会出现*。

示例

将表 films 上的插入权限授予所有用户：

GRANT INSERT ON films TO PUBLIC;

将视图 kinds 上的所有可用权限授予用户 manuel：

GRANT ALL PRIVILEGES ON kinds TO manuel;

请注意，如果上述命令由超级用户或 kinds 的拥有者执行，确实会授予所有权限；但如果由其他人执行，则只会授予该执行者持有授予选项的那些权限。

将角色 admins 的成员资格授予用户 joe：

GRANT admins TO joe;

兼容性

根据 SQL 标准，ALL PRIVILEGES 中的 PRIVILEGES 关键字是必需的。SQL 标准也不支持每条命令对多个对象设置权限。

PostgreSQL 允许对象拥有者撤销自己的普通权限：例如，表拥有者可以通过撤销自己的 INSERT、UPDATE 和 DELETE 权限，使该表对自己变成只读。这在 SQL 标准中是不可能的。原因是 PostgreSQL 把拥有者的权限视为拥有者授予给自己的；因此他们也可以撤销这些权限。在 SQL 标准中，拥有者的权限由一个假定实体 “_SYSTEM” 授予。由于拥有者并不是 “_SYSTEM”，因此不能撤销这些权利。

PostgreSQL不支持 SQL 标准中为单个列设置权限的功能。

SQL 标准还为其他种类的对象提供 USAGE 权限：字符集、排序规则、翻译。

数据库、表空间、模式和语言上的权限都是 PostgreSQL 扩展。

参见

REVOKE