授予在静态数据库上执行 SQL 查询的权限

Question

我正在从事一个项目，我希望让人们能够在 PostgreSQL 数据库上执行 SQL 查询。然后我只需要防止人们入侵/攻击我的数据库。

我认为可能的一种方法是仅授予对数据库连接的视图访问权限。并使用 EXPLAIN ANALYZE 计算 SQL 查询的成本。

EXPLAIN ANALYZE 是否值得信赖，可以确保没有廉价的方法让网站崩溃？

你有什么建议吗？

Answer 1

EXPLAIN ANALYSE 将执行查询，包括它可能产生的任何副作用。 PostgreSQL 还允许运行任意 Perl 和 Python 代码（如果配置为这样做），所以要小心。您最好在按请求的虚拟机或类似的高度隔离的环境中运行 PostgreSQL 实例。