是否有可能在PostgreSQL中过滤查询？

Question

我想访问的用户名+密码表限制在一个查询模式，如：

SELECT count(id) AS auth_result 
    FROM user 
WHERE username = '%s' 
    AND password = SHA1('%s') 

（此查询不假装从注入漏洞，只是一个例子点工作）

那可能吗？还是我错过了一些不同的方法？

Answer 1

您可以撤消所有用户，只拥有者所有访问user表，并创建一个视图，像这样：

create view auth_view as 
select id, username, sha1(password) as sha1pass 
    from user; 

然后你的查询将是这样的：

select count(id) 
    from auth_view 
where username = '%s' 
    and sha1pass = sha1('%s') 

其他可能性可能会使用PostgreSQL's rule system来重写或避免user表中某些查询之王。但我不确定你在这里做什么。

Answer 2

我不知道您计划的是好还是不好，但应该可以使用rewrite rules。从来没有玩过它。

Answer 3

我建议你写一个函数，并使其成为SECURITY DEFINER。参见例如http://www.hagander.net/talks/hidden%20gems%20of%20postgresql.pdf，第28-36页。