42501 insufficient_privilege

速览

SQLSTATE 42501 是 Class 42 中的 insufficient_privilege。42501 表示权限不足。选定的自然路径让另一个角色在只有 schema USAGE、没有 sequence USAGE 时调用 runner 自有序列的 nextval，服务器报告 permission denied for sequence %s。

含义

42501 表示权限不足。在选定路径中，nextval 进入 nextval_internal，先按有效的 GetUserId() 检查序列访问权限，再推进序列。schema 的 USAGE 只允许受限角色解析该 schema 中的对象，并不会授予本次调用所需的序列权限，因此服务器发出 ERROR 主报文 permission denied for sequence %s；其中序列名是动态值。

这里的 owner 边界很重要：owner 或管理员连接负责准备一次性 schema 和序列，另一个受限角色连接负责执行 nextval。实际修复是由 owner/管理员连接窄授 GRANT USAGE ON SEQUENCE ...，再让同一个受限角色重试；这不表示受限角色可以自行给自己授权。

同一 SQLSTATE 还覆盖其他权限边界。通用 ACL 检查器可以报告 permission denied for relation %s、permission denied for schema %s 或列级形式；只允许 owner 的操作则使用 must be owner of relation %s 或相应对象类型。行级安全是执行器的另一层检查：表 ACL 通过时，INSERT 或 UPDATE 的行仍可能违反策略并报 new row violates row-level security policy ...。这些是固定源码确认的 producer 分支，不是选定序列运行的额外观察。

诊断

检查 current_user、session_user、任何 SET ROLE、数据库、schema、准确关系或列，以及相应 ACL。把准备/授权连接与探测连接分开：将 runner_host、runner_port、runner_db、runner_user 替换为真实一次性目标和 owner/管理员凭据，再用另一个连接以生成的受限角色（例如 syntax_role）执行 nextval。否则连接池可能让 ACL 变更看起来作用到了另一个 backend。如果主报文点名关系、schema 或列，应检查该对象的权限，而不是假设都是 sequence USAGE；must be owner 要检查对象 owner 和生效角色；RLS 主报文则要检查适用于该角色的策略 USING/WITH CHECK。选定的自动提交探测得到 ERROR 后同一探测会话仍为 IDLE；显式事务则要先按自己的错误状态处理，再继续操作。它不同于 28000 的启动授权失败和 0A000 的功能不支持。

处理

由 owner/管理员连接只授予准确对象所需的权限（本例为 sequence USAGE），或使用应用设计所需的 owner/security-definer 或 RLS 策略。修改 ACL 后在同一个受限角色会话重试 nextval，并核对返回值和会话状态。超级用户确实会绕过 ACL，但不要把角色升为超级用户来替代有针对性的最小授权；schema USAGE、表权限和序列权限是不同检查。owner-only 失败应使用 owner/迁移角色，或有意识地变更 owner，而不是把 ACL 授权当成 owner 转移。如果涉及角色成员关系或 SET ROLE，还要检查实际生效角色。

报文

选定序列源码路径以 SQLSTATE 42501 发出明确的 ERROR，主报文为 permission denied for sequence %s。%s 是解析出的序列关系名；该路径没有 DETAIL 或 HINT。其他固定 ACL 分支使用 permission denied for relation %s、permission denied for schema %s 和 permission denied for column "%s" of relation "%s"；owner-only 检查使用 must be owner of relation %s 或相应对象类型。RLS WITH CHECK 分支使用 new row violates row-level security policy ... 主报文。只有客户端异常而没有针对具体分支的服务器 SQLSTATE 和主报文时，不能据此识别该 42501 producer。

代表案例

本页使用与运行器注册表相同的语句。owner/管理员连接创建序列并授予 schema USAGE；受限角色连接执行两次 nextval 探测。执行时，syntax_schema、syntax_role 等生成名称会替换为一次性实例中的实际值，runner_host、runner_port、runner_db、runner_user 等连接占位符也必须替换为真实目标，不能照抄字面值。

CREATE SEQUENCE syntax_schema.syntax_sequence START WITH 1;
GRANT USAGE ON SCHEMA syntax_schema TO syntax_role;
SELECT nextval('syntax_schema.syntax_sequence');
GRANT USAGE ON SEQUENCE syntax_schema.syntax_sequence TO syntax_role;
SELECT nextval('syntax_schema.syntax_sequence');

选定的 18.6 运行记录结构化诊断并通过修复断言；10.21 运行通过同一案例的具体检查。可下载的案例和证据投影分别是 42501 案例 JSON 和 作者证据。运行器清单为 verify/cases/42501/cases.json，页面 SQL 会与共享注册表核对。

版本

选定的自然运行范围是 PostgreSQL 18.6 与 10.21，不能据此推断所有中间版本的行为。

相关

• 28000 — 相关条件
• 0A000 — 相关条件
• 42601 — 语法错误

来源

• 上游源码 src/backend/catalog/aclchk.c 第 3301–3449 行 REL_10_23 02991e79f 3a4330bd
• 上游源码 src/backend/catalog/aclchk.c 第 2793–2795 行 REL_18_6 724edf9bd 97002583
• 上游源码 src/backend/utils/errcodes.txt REL_18_6 724edf9bd 6e8de346
• 上游源码 src/backend/executor/execMain.c 第 2188–2208 行 REL_10_23 02991e79f 386d09f7
• 上游源码 src/backend/executor/execMain.c 第 2332–2365 行 REL_18_6 724edf9bd 33b97337
• 上游源码 src/backend/commands/sequence.c 第 605–608 行 REL_10_23 02991e79f 5510e126
• 上游源码 src/backend/commands/sequence.c 第 652–655 行 REL_18_6 724edf9bd 3e5afe17
• 核验材料 verify/cases/42501/cases.json 63f32b62
• 核验材料 verify/cases/42501/snippets.json 1c312de4
• 核验材料 raw/calls/REL_10_23.jsonl 00d16d3e
• 核验材料 raw/calls/REL_18_6.jsonl 9ee8a0e8