PostgreSQL视图默认并非只读，满足单表、无聚合、主键完整等条件时会自动变为可更新视图（is_updatable='YES'），导致INSERT/UPDATE直接写入基表；必须通过权限收窄、字段显式裁剪、角色隔离及default_transaction_read_only等运行时控制才能实现真正只读。
仅靠 CREATE VIEW + GRANT SELECT 无法保证视图只读——用户仍可能通过底层表、可更新视图或函数绕过限制。真正安全的只读视图必须配合权限收窄、角色隔离与运行时控制。
为什么视图默认不是只读的？
PostgreSQL 视图在满足条件时（单表、无聚合、主键列完整暴露）会自动成为可更新视图（pg_views.is_updatable = 'YES'），此时 INSERT INTO view_name 会直接写入基表。即使你没显式授予权限，只要用户对底层表有 INSERT 权限，或者视图定义者拥有写权限且用了 SECURITY DEFINER，就可能触发静默写入。
- 检查可更新性：
SELECT schemaname, viewname, is_updatable FROM pg_views WHERE viewname = 'your_view'; - 避免可更新：在视图定义中加入
GROUP BY、JOIN多表、DISTINCT或聚合函数（如COUNT(*)），PostgreSQL 就会强制设为is_updatable = 'NO' - 别依赖
WITH CHECK OPTION：它用于可更新视图的约束校验，只读场景下不仅无效，还可能引发意外报错
如何让视图真正不可写且不暴露敏感字段？
核心是“显式控制 + 字段裁剪”，而不是靠语法开关。
PostgreSQL 18.4 ubuntu
下载
PostgreSQL 18.4 官方 Ubuntu 安装包现已发布，这是目前最新的稳定版本。推荐通过官方 APT 仓库安装：先执行 sudo apt update 更新索引，再运行 sudo apt install postgresql-18 即可完成部署。新版本引入了异步 I/O 子系统，在顺序扫描与 VACUUM 场景下性能提升显著，同时支持 UUID v7 原生生成函数与虚拟生成列。
- 永远不用
SELECT *；明确列出所需字段，跳过password_hash、ssn、deleted_at等敏感列 - 用
AS重命名字段，避免原始语义泄露（例如email AS contact_id） - 加行级过滤：在
WHERE中固化业务规则，比如WHERE status != 'archived'，防止调用方绕过 - 若需兼容旧应用字段名，优先用别名而非暴露原名；视图名本身也应语义清晰（如
sales_summary_v1而非view1）
怎样阻断所有绕过视图的写入口？
只限制视图没用，必须从角色层面切断所有 DML/DDL 路径。
- 创建无登录能力的基础角色：
CREATE ROLE readonly_role WITH NOLOGIN; - 强制会话只读：
ALTER ROLE readonly_role SET default_transaction_read_only = on; - 收回 schema 创建权：
REVOKE CREATE ON SCHEMA public FROM readonly_role; - 只授必要权限：
GRANT USAGE ON SCHEMA public TO readonly_role;+GRANT SELECT ON ALL TABLES IN SCHEMA public TO readonly_role; - 覆盖未来对象：
ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT SELECT ON TABLES TO readonly_role;
用 SECURITY DEFINER 函数替代视图是否更安全？
是，但必须严格配置，否则反而引入新风险。
- 函数定义者必须是只具备
SELECT权限的专用角色（如readonly_role），不能是超级用户 - 函数体只能写
RETURN QUERY SELECT ... FROM real_table，禁止引用用户无权访问的对象（如pg_stat_activity） - 显式撤销 DML 权限：
REVOKE INSERT, UPDATE, DELETE ON FUNCTION fn_report() FROM PUBLIC; - 调用时用
SELECT * FROM fn_report()，无法对函数名执行任何 DML —— 这比视图更彻底地切断了写路径
最易被忽略的一点：default_transaction_read_only = on 只影响新会话，已存在的连接不受影响；生产环境上线后务必重启连接池或通知应用重建连接，否则该设置形同虚设。
