ClickHouse行级权限控制(ROW POLICY)详解

ClickHouse行级权限控制(ROW POLICY)详解

什么是行级权限控制

ClickHouse的行级权限控制(ROW POLICY)是一种细粒度的数据访问控制机制，它允许管理员为特定用户或角色设置数据行的访问过滤条件。通过行级策略，可以实现不同用户查看同一张表时看到不同数据行的效果，这在多租户场景或数据权限分级场景中非常有用。

行级策略的基本语法

创建行级策略的基本语法如下：

CREATE [ROW] POLICY [IF NOT EXISTS | OR REPLACE] policy_name 
    [ON CLUSTER cluster_name] ON [db.]table|db.*
    [IN access_storage_type]
    [FOR SELECT] USING condition
    [AS {PERMISSIVE | RESTRICTIVE}]
    [TO {role1 [, role2 ...] | ALL | ALL EXCEPT role1 [, role2 ...]}]

核心组件解析

USING条件子句

USING子句定义了行过滤条件，只有当条件计算结果为非零值时，用户才能看到该行数据。例如：

CREATE ROW POLICY filter_sales ON sales_data USING region = 'Asia' TO asia_manager

这个策略确保asia_manager用户只能看到亚洲区域的销售数据。

TO目标子句

TO子句指定策略适用的用户或角色：

• 可以指定具体用户或角色列表：TO user1, role1
• ALL表示所有用户
• ALL EXCEPT表示除指定用户外的所有用户

重要注意事项：一旦为表创建了任何行级策略，未明确授权的用户将无法访问任何数据。必须显式为其他用户创建允许访问的策略。

AS策略类型

策略分为两种类型：

1. PERMISSIVE(宽松策略)：默认类型，多个策略条件使用OR逻辑组合
2. RESTRICTIVE(严格策略)：条件使用AND逻辑组合

最终可见行判定规则为：

行可见 = (任意宽松策略条件为真) AND (所有严格策略条件为真)

策略作用范围

策略可以作用于：

• 特定表：ON db.table
• 整个数据库：ON db.*（将应用于该数据库所有表）

当同时存在数据库级和表级策略时，它们会按照AS类型规则组合。

实际应用示例

基础权限控制

-- 财务人员只能查看金额小于1000的记录
CREATE ROW POLICY filter_amount ON accounting.transactions 
    USING amount < 1000 TO finance_staff;

-- 管理员可以查看所有记录
CREATE ROW POLICY admin_access ON accounting.transactions 
    USING 1 TO admin;

多条件组合策略

-- 销售经理可以查看自己区域或VIP客户的订单
CREATE ROW POLICY sales_mgr_policy ON sales.orders 
    USING (region = currentRegion() OR is_vip = 1) TO sales_manager;

-- 同时限制不能查看已删除订单(严格策略)
CREATE ROW POLICY no_deleted_policy ON sales.orders 
    USING is_deleted = 0 AS RESTRICTIVE TO ALL;

多租户隔离

-- 每个租户只能看到自己的数据
CREATE ROW POLICY tenant_isolation ON multi_tenant.data 
    USING tenant_id = currentTenantId() TO ALL;

集群策略管理

使用ON CLUSTER可以在集群所有节点上创建策略：

CREATE ROW POLICY cluster_wide_policy ON CLUSTER production 
    ON app_db.user_data USING org_id = currentOrgId() TO app_users;

最佳实践建议

1. 明确默认策略：为表创建策略后，记得为其他用户设置默认访问规则
2. 合理使用策略类型：宽松策略用于添加权限，严格策略用于限制权限
3. 优先使用角色：将策略分配给角色而非直接给用户，便于管理
4. 定期审查策略：随着业务变化调整策略，避免积累过多复杂策略
5. 测试验证：新策略应先在小范围测试，确保不影响现有业务

行级权限控制是ClickHouse强大的安全特性，合理使用可以实现精细的数据访问控制，满足企业级数据安全需求。