PostgreSQL 9.5：Row Level Security（RLS）源码级深度解析与9.5→18演进

本文系统解析 PostgreSQL 9.5 引入的行级安全（Row Level Security, RLS）机制，从语法、行为到源码实现路径与调用链，帮助读者建立“知其然更知其所以然”的系统性认知，并概览后续版本的相关演进。包含：概述、背景、名词解释、语法与行为、源码映射、执行时机与并发关系、性能与配置、兼容性与迁移、Mermaid 流程图（配色与样式优化）、参考资料与“速记口”总结。

简介与项目背景

在多租户、隐私合规与精细化权限控制的业务场景中，传统的基于视图或触发器的行级过滤方案存在维护复杂、绕过风险与性能不稳定等问题。PostgreSQL 9.5 原生引入 RLS，通过“策略（POLICY）”对象表达行级访问规则，在查询重写阶段将策略条件自动注入，统一保障 SELECT/INSERT/UPDATE/DELETE 四类操作的行级控制，提升安全一致性与可维护性。

RLS 的核心思想：把“用户能看到/操作哪些行”的逻辑内嵌到数据库执行流程（重写阶段），由内核保障不可绕过（配合 force_row_security 等配置）。

名词解释

• Row Level Security（RLS）：行级安全控制，基于策略对每条数据行进行访问过滤或写入校验。
• POLICY：安全策略对象，绑定到表；可针对不同命令（SELECT/INSERT/UPDATE/DELETE）、不同角色定义 USING 与 WITH CHECK 条件。
• USING：用于“读路径”，在 SELECT/UPDATE/DELETE 时追加到查询的行过滤条件。
• WITH CHECK：用于“写路径”，在 INSERT/UPDATE 时校验被写入/更新的行是否满足策略；不满足则拒绝。
• ENABLE/FORCE ROW LEVEL SECURITY：开启/强制 RLS 的表级开关，FORCE 禁止策略被某些角色绕过。
• row_security 与 force_row_security：GUC 配置，分别控制是否启用行级安全与是否强制所有角色都受 RLS 约束。

语法与行为

• 启用/禁用 RLS：
  • ALTER TABLE tbl ENABLE ROW LEVEL SECURITY
  • ALTER TABLE tbl DISABLE ROW LEVEL SECURITY
  • ALTER TABLE tbl FORCE ROW LEVEL SECURITY（强制无例外）
• 定义策略：
  • CREATE POLICY p_sel ON tbl FOR SELECT TO role_list USING (predicate)
  • CREATE POLICY p_ins ON tbl FOR INSERT TO role_list WITH CHECK (predicate)
  • CREATE POLICY p_upd ON tbl FOR UPDATE TO role_list USING (read_pred) WITH CHECK (write_pred)
  • CREATE POLICY p_del ON tbl FOR DELETE TO role_list USING (predicate)
• 修改/删除策略：
  • ALTER POLICY p ON tbl …（调整角色或条件）
  • DROP POLICY p ON tbl
• 应用行为：
  • SELECT：在查询重写阶段注入 USING 条件（行过滤）
  • UPDATE：读路径用 USING 过滤候选行，写路径用 WITH CHECK 校验更新后的行
  • DELETE：读路径用 USING 过滤可删除的行
  • INSERT：写路径用 WITH CHECK 校验待插入的行是否满足策略

示例 SQL（演示策略的 USING 与 WITH CHECK）参见：sql/row_level_security_examples.sql

源码映射与实现要点

RLS 的核心实现由“查询重写层 + 策略对象管理 + 目录变更 + GUC 配置”构成：

• 查询重写（将策略条件注入查询树）：
  • 关键实现：src/backend/rewrite/rowsecurity.c
    • 负责在重写阶段，根据命令类型（SELECT/INSERT/UPDATE/DELETE）与策略，将 USING 与/或 WITH CHECK 条件注入到查询树中。
    • 与重写总控机制（QueryRewrite）协作，确保 RLS 条件在进入优化器与执行器前就生效。
• 策略对象的创建/修改/删除：
  • 策略命令：src/backend/commands/policy.c
  • 目录定义：src/include/catalog/pg_policy.h
  • 目录填充/变更：src/backend/catalog/
• 表级开关与命令处理：
  • 表命令：src/backend/commands/tablecmds.c
    • 处理 ALTER TABLE ENABLE/FORCE/DISABLE ROW LEVEL SECURITY 的表级标志逻辑。
• GUC 配置（启用/强制）：
  • 参数注册与解析：src/backend/utils/misc/guc.c
• 执行器与访问路径：
  • RLS 在“重写阶段”生效，进入优化器与执行器后，RLS 条件等同于普通 WHERE/QUAL 的一部分；执行器文件（如 src/backend/executor/）在运行时按计划执行，不再区分“RLS”和“普通过滤”。

说明：本文以文件路径级别标注源码位置；函数级调用链可在上述文件中进一步检索，如策略解析、Rule/RTE 生成与 quals 注入的细节均可在 rowsecurity.c 内定位。

执行时机、并发关系与不可绕过性

• 执行时机：RLS 在“查询重写”阶段注入条件（Rewrite → Plan → Execute），因此优化器会将 RLS 条件与普通查询条件一并考虑，生成最终执行计划。
• 不可绕过性：
  • 在 FORCE ROW LEVEL SECURITY 打开时，所有角色均不能绕过策略；即便是高权限角色也会受限。
  • row_security=on 使得一般角色默认受策略约束；关闭时可能由特权角色绕过（取决于表的 FORCE 状态与角色权限模型）。
• 并发关系：
  • RLS 本身不引入额外锁种类；其影响通过条件注入体现在“可见/可操作的行集合”上。
  • 与事务隔离、锁升级无直接耦合，但策略条件可能影响可见行集从而改变并发下的操作集合。

性能与配置建议

• 索引支持：策略条件应优先使用可索引的列（如 tenant_id、owner_id），以便优化器生成高效访问路径，避免全表扫描。
• 复杂表达式：尽量避免在 USING/WITH CHECK 中使用复杂函数或不可索引的表达式，减少 CPU 开销与计划复杂度。
• 分区/分片：在 10+ 的声明式分区环境中，策略条件与分区键配合可以显著提升 RLS 下的访问效率。
• 统计与选择性：确保策略列具有准确统计信息（ANALYZE），以便优化器正确估计选择性。
• 配置项：
  • row_security（GUC）：是否启用行级安全，定义于：src/backend/utils/misc/guc.c
  • force_row_security（GUC）：是否强制所有角色均受 RLS 约束，定义于：src/backend/utils/misc/guc.c

兼容性与迁移

• 从基于视图/触发器的方案迁移：
  • 将视图 WHERE 条件迁移为 POLICY USING；将写入校验触发器迁移为 POLICY WITH CHECK。
  • 评估可能的功能差异（例如触发器副作用与策略的交互顺序）。
• 角色与权限模型：
  • 为不同角色定义专属策略或使用 TO PUBLIC；注意策略的覆盖关系与组合效果。
• 多策略组合：
  • 同一命令可有多条策略；最终条件为策略间的“或/与”组合（细节见官方文档），需谨慎设计避免意外“放宽或加严”。

Mermaid 流程图（配色与样式优化）

采用柔和配色与边框样式，突出关键节点与不可绕过路径，缓解视觉疲劳：

9.5 → 18 关联演进概览（与 RLS 的相关方向）

• 9.5：引入 RLS、POLICY 对象、USING/WITH CHECK、ENABLE/FORCE 表级开关、row_security/force_row_security GUC；重写阶段注入条件的机制确立。
• 9.6：增加并行查询等（RLS 仍在重写层生效，不直接冲突；与并行执行需确保条件正确传播）。
• 10：声明式分区引入；RLS 在分区表上的行为与策略条件需结合分区键与路由逻辑设计。
• 11~12：执行器与优化器改进（统计/选择性估计、索引层增强等），提升 RLS 条件下的计划质量与性能。
• 13~14：索引与存储层性能优化（如 B-Tree dedup），间接改善在 RLS 条件过滤下的访问效率。
• 15~18：稳定性与可维护性增强，RLS 作为成熟机制保持稳定；更多安全相关能力与扩展生态配合（如审计/策略管理工具）。

注：上述为与 RLS 关联的宏观方向梳理；具体版本细节请以各版本 Release Notes 与文档为准。

参考资料与权威链接

• PostgreSQL 9.5 Release Notes（官方）：https://www.postgresql.org/docs/9.5/release-9-5.html

• Row Security 文档（官方）：https://www.postgresql.org/docs/current/ddl-rowsecurity.html

• ALTER TABLE 文档（官方）：https://www.postgresql.org/docs/current/sql-altertable.html

• 查询重写实现：src/backend/rewrite/rowsecurity.c

• 策略命令实现：src/backend/commands/policy.c

• 策略系统目录：src/include/catalog/pg_policy.h

• 表命令处理：src/backend/commands/tablecmds.c

• GUC 配置：src/backend/utils/misc/guc.c

速记口（面试/设计复盘快速记忆）

• 关键词：RLS、POLICY、USING、WITH CHECK、ENABLE/FORCE、row_security、force_row_security。
• 行为骨架：SELECT/DELETE → USING 行过滤；INSERT/UPDATE → USING 读过滤 + WITH CHECK 写校验。
• 执行时机：Rewrite 阶段注入 → 优化器规划 → 执行器执行。
• 源码定位：重写src/backend/rewrite/rowsecurity.c → 策略命令src/backend/commands/policy.c → 目录定义src/include/catalog/pg_policy.h → 表级开关src/backend/commands/tablecmds.c → GUCsrc/backend/utils/misc/guc.c。
• 不可绕过性：FORCE 打开时所有角色受限；row_security 控制默认约束；两者结合决定绕过能力。
• 性能要点：策略列可索引、统计准确、条件简洁；在分区/分片下与分区键配合。

---

附注：本文以文件路径引用标注源码位置以保持跨版本稳定性与可溯源性；如需函数级或结构体级细节，可在上述路径内检索具体实现（如 RTE 生成、qual 注入、策略解析与权限检查等）。