PostgreSQL 8.4'te bir tetikleyici işlevini yürütmek için gereken ayrıcalıklar nelerdir?
Bir role atanan ayrıcalıkların bir tetikleyici işlevi yürütmesi önemli değildir. Bir gün, bir tetikleyici işlevini yürütmek için gereken ayrıcalıkların EXECUTE ayrıcalığı olduğunu, ancak tablonun sahibi için, tetikleyici işlevini çağıran tetikleyiciyi başlatan eylemi gerçekleştiren gerçek rolü olmadığını gördüm.
Bu noktayı açıklayan dokümantasyon bölümünü bulamıyorum, herhangi bir yardım?
Yanıtlar:
Tetikleyici işlevler, ayrıcalıklar açısından diğer işlevler gibi davranır. Küçük bir istisna dışında:
Bir tabloda tetikleyici oluşturmak için kullanıcının
TRIGGERtabloda ayrıcalık olması gerekir . KullanıcınınEXECUTEtetikleme işlevi üzerinde de ayrıcalığı olmalıdır .
GÜNCELLEME Yorumlardaki geri bildirimlerden sonra biraz araştırma yaptım. Bir yoktur Postgres Wiki açık YAPILACAK öğesi:
Tetikleyici izin kontrollerini sıkın
Bağlı Postgres hacker bu parçacığı . Şu anda, EXECUTEbir tetikleyici işlevindeki ayrıcalıklar yalnızca tetikleyici oluşturma zamanında denetlenir , ancak çalışma zamanında denetlenmez . Bu nedenle, tetikleyici işlevi üzerinde EXECUTE işlevinin iptal edilmesinin, oluşturulduktan sonra tetikleyici üzerinde hiçbir etkisi yoktur. Gözleminiz doğru görünüyor.
Bu, nesneleri işlemek için herhangi bir ek ayrıcalık sağlamaz. Çağıran rolde, işlev gövdesini yürütmek (parçalarını yapmak) için gerekli ayrıcalıklar yoksa, olağan istisna ortaya çıkar. Yolu açmak için OWNER, işlevin ayrıcalıklı bir kullanıcısını yapabilir ve
SECURITY DEFINERfıkra, buradaki kılavuzda belirtildiği gibi . İşlevin invoker yerine sahibinin izinleriyle çalışmasına neden olur (varsayılan).
Sahibi bir süper kullanıcıysa, kime EXECUTEayrıcalık tanıdığınıza ve işlevin kötüye kullanımdan kaçınmak için neler yapabileceğine çok dikkat etmelisiniz . İsteyebilirsiniz
REVOKE ALL ON FUNCTION foo() FROM public;SET search_pathişlev ile başlamak ve kullanmak için. Fonksiyonları Güvenli Yazma
bölümünü okuduğunuzdan emin olun .SECURITY DEFINER
SO ile ilgili bu cevapta bir kod örneği bulun .
NOTICE. İşlevin sahibinden ve sahiplerinden ALLayrıcalıkları kaldırdım PUBLIC. Daha sonra, sahibi veya bu işlev üzerinde herhangi bir ayrıcalığı olmayan başka bir rol kullanırsam, ayrıcalıkların olmaması nedeniyle bir hata beklemeliyim, ancak her şey başarıyla çalışır.
SECURITY DEFINER, istiyorumSECURITY INVOKER. Ama öyle görünüyor ki (tetikleyici işlevi için, normal işlev için değil), varsayılan seçeneği (SECURITY INVOKER) kullanarak böyle davranmaz.