SCHEMA上有什么免费使用的功能？

我正在尝试首次创建Postgres数据库，因此这可能是一个愚蠢的问题。我为db角色分配了基本的只读权限，该角色必须从我的php脚本访问数据库，并且我有一个好奇心：如果执行

GRANT some_or_all_privileges ON ALL TABLES IN SCHEMA schema TO role;

有没有必要执行

GRANT USAGE ON SCHEMA schema TO role;

？

从文档：

用法：对于模式，允许访问指定模式中包含的对象（假设还满足对象自己的特权要求）。本质上，这允许被授予者在架构内“查找”对象。

我认为，如果我可以选择或操作架构中包含的任何数据，则可以访问架构本身的任何对象。我错了吗？如果没有，它的作用是什么GRANT USAGE ON SCHEMA？该文档对“假设还满足对象自己的特权要求”到底意味着什么？

GRANT不同对象上的s是分开的。GRANT在数据库上GRANT访问对内部架构无权。GRANT类似地，在架构上注册不会授予其中表的权限。

如果您有权访问SELECT某个表，但没有权限在包含该表的架构中查看它，那么您将无法访问该表。

权限测试按顺序进行：

Do you have `USAGE` on the schema? 
    No:  Reject access. 
    Yes: Do you also have the appropriate rights on the table? 
        No:  Reject access. 
        Yes: Check column privileges.

您可能会因为以下事实而感到困惑：public架构默认拥有GRANT角色的所有权利public，每个用户/组都是该角色的成员。因此，每个人都已经在该架构上使用过。

词组：

（假设还满足对象自己的特权要求）

就是说，您必须拥有USAGE一个架构才能使用其中的对象，但是拥有USAGE一个架构本身不足以使用该架构中的对象，您还必须拥有这些对象本身的权限。

就像目录树一样。如果您在其中创建somedir带有文件的目录，请somefile对其进行设置，以便只有您自己的用户才能访问该目录或文件（rwx------dir模式rw-------，dir模式，文件模式），然后没有其他人可以列出目录以查看该文件是否存在。

如果您要授予文件的全球读取权限（模式rw-r--r--），但不更改目录权限，则没有任何区别。没有人可以看到文件来读取它，因为他们没有列出目录的权限。

如果您改为rwx-r-xr-x在目录上进行设置，进行设置，以便人们可以列出和遍历目录，但不更改文件权限，则人们可以列出文件，但无法读取它，因为他们无权访问该文件。

你需要设置 两个权限，以使人们能够实际查看文件。

在Pg中也是一样。您需要两个模式USAGE权限和对象权限才能对对象执行操作，例如SELECT从表中进行操作。

（类比下降了一点，因为PostgreSQL还没有行级安全性，因此用户仍然可以SELECT通过pg_class直接引用来“看到”该表存在于模式中。他们无法以任何方式与其进行交互，因此，只是“列表”部分并不完全相同。）

对于生产系统，可以使用以下配置：

--ACCESS DB
REVOKE CONNECT ON DATABASE nova FROM PUBLIC;
GRANT  CONNECT ON DATABASE nova  TO user;

--ACCESS SCHEMA
REVOKE ALL     ON SCHEMA public FROM PUBLIC;
GRANT  USAGE   ON SCHEMA public  TO user;

--ACCESS TABLES
REVOKE ALL ON ALL TABLES IN SCHEMA public FROM PUBLIC ;
GRANT SELECT                         ON ALL TABLES IN SCHEMA public TO read_only ;
GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA public TO read_write ;
GRANT ALL                            ON ALL TABLES IN SCHEMA public TO admin ;

好吧，这是我针对Linux的简单数据库的最终解决方案：

# Read this before!
#
# * roles in postgres are users, and can be used also as group of users
# * $ROLE_LOCAL will be the user that access the db for maintenance and
#   administration. $ROLE_REMOTE will be the user that access the db from the webapp
# * you have to change '$ROLE_LOCAL', '$ROLE_REMOTE' and '$DB'
#   strings with your desired names
# * it's preferable that $ROLE_LOCAL == $DB

#-------------------------------------------------------------------------------

//----------- SKIP THIS PART UNTIL POSTGRES JDBC ADDS SCRAM - START ----------//

cd /etc/postgresql/$VERSION/main
sudo cp pg_hba.conf pg_hba.conf_bak
sudo -e pg_hba.conf

# change all `md5` with `scram-sha-256`
# save and exit

//------------ SKIP THIS PART UNTIL POSTGRES JDBC ADDS SCRAM - END -----------//

sudo -u postgres psql

# in psql:
create role $ROLE_LOCAL login createdb;
\password $ROLE_LOCAL
create role $ROLE_REMOTE login;
\password $ROLE_REMOTE

create database $DB owner $ROLE_LOCAL encoding "utf8";
\connect $DB $ROLE_LOCAL

# Create all tables and objects, and after that:

\connect $DB postgres

revoke connect on database $DB from public;
revoke all on schema public from public;
revoke all on all tables in schema public from public;

grant connect on database $DB to $ROLE_LOCAL;
grant all on schema public to $ROLE_LOCAL;
grant all on all tables in schema public to $ROLE_LOCAL;
grant all on all sequences in schema public to $ROLE_LOCAL;
grant all on all functions in schema public to $ROLE_LOCAL;

grant connect on database $DB to $ROLE_REMOTE;
grant usage on schema public to $ROLE_REMOTE;
grant select, insert, update, delete on all tables in schema public to $ROLE_REMOTE;
grant usage, select on all sequences in schema public to $ROLE_REMOTE;
grant execute on all functions in schema public to $ROLE_REMOTE;

alter default privileges for role $ROLE_LOCAL in schema public
    grant all on tables to $ROLE_LOCAL;

alter default privileges for role $ROLE_LOCAL in schema public
    grant all on sequences to $ROLE_LOCAL;

alter default privileges for role $ROLE_LOCAL in schema public
    grant all on functions to $ROLE_LOCAL;

alter default privileges for role $ROLE_REMOTE in schema public
    grant select, insert, update, delete on tables to $ROLE_REMOTE;

alter default privileges for role $ROLE_REMOTE in schema public
    grant usage, select on sequences to $ROLE_REMOTE;

alter default privileges for role $ROLE_REMOTE in schema public
    grant execute on functions to $ROLE_REMOTE;

# CTRL+D