直接查审计日志表不安全，因其暴露client_addr、statement等敏感字段且权限粒度粗；必须通过视图强制脱敏（如IP模糊化、SQL截断）、行级时间限制（如event_time ≥ 当前日期-30天）并配合角色授权（仅授视图SELECT权、禁基表访问），才能落实最小权限原则。
为什么直接查审计日志表不安全？
PostgreSQL本身不内置审计日志功能，通常依赖pg_audit扩展或log_statement配合外部日志系统。一旦启用pg_audit，审计事件会写入pg_audit.log文件（非数据库表），或通过pg_audit.log_relation等参数控制写入pg_catalog中的临时视图（如pg_audit_log，需自建）。但这些底层数据源往往暴露全部字段（含client_addr、application_name、statement等敏感内容），且权限粒度粗——给用户SELECT权限就等于开放原始日志。
视图的核心价值不是“封装查询”，而是“强制脱敏+权限隔离”。必须用视图切断用户与原始日志源的直接访问路径。
如何创建带字段过滤和行级限制的审计日志视图？
假设你已用pg_audit将日志写入一张名为audit_log_raw的表（常见于自建方案），结构含id、event_time、user_name、client_addr、application_name、statement等列。安全视图需满足：隐藏IP、截断SQL、按角色限时间范围。
- 用
substring()或left()处理statement，避免泄露密码或敏感条件：left(statement, 200) - 用
mask_email()类函数（需自定义）或regexp_replace(client_addr, '\.\d+$', '.xxx')模糊化IP，而非直接NULL（否则丢失网络位置线索） - 对普通审计员角色，强制
WHERE event_time >= current_date - interval '7 days'；管理员可另建视图放开时限 - 显式列出所需字段，不写
*——防止新增列意外暴露
示例：
CREATE VIEW audit_log_vw AS
SELECT id,
event_time,
user_name,
regexp_replace(client_addr, '\.\d+$', '.xxx') AS client_addr_masked,
application_name,
left(statement, 200) AS statement_truncated
FROM audit_log_raw
WHERE event_time >= current_date - interval '30 days';怎样用视图配合角色权限实现最小权限原则？
视图本身不解决权限问题，必须配合GRANT和角色体系。关键点在于：只授视图权限，不授基表权限；且禁止用户CREATE或ALTER视图。
- 创建专用角色：
CREATE ROLE audit_viewer; - 仅授权视图查询：
GRANT SELECT ON audit_log_vw TO audit_viewer; - 明确拒绝基表访问：
REVOKE SELECT ON audit_log_raw FROM audit_viewer;（即使之前没授过，也建议显式执行） - 若需支持按用户名过滤，可在视图中嵌入
CURRENT_USER判断，但注意：视图定义中用CURRENT_USER是静态绑定创建者，要用SESSION_USER或改用行级安全策略（RLS）
注意：pg_audit生成的日志默认归属postgres用户，确保audit_log_raw表的所有者不是日常运维账号，否则可能绕过视图限制。
为什么不能在视图里做复杂条件计算？
审计日志查询常需按时间聚合、统计频次，但这类操作不应放在视图定义里。视图本质是“保存的查询”，每次调用都实时执行全量扫描+计算，性能极差。
- 避免在视图中写
COUNT(*) GROUP BY user_name——应由应用层或物化视图承担 - 不推荐用
pg_stat_statements替代审计日志，它不记录连接信息和完整SQL，且需额外开启 - 真正高频查询场景，应基于
audit_log_raw建物化视图（PG 14+）或定期汇总表，并为该表单独设权限 - 视图的
security_invoker属性（PG 15+）可用于动态适配调用者上下文，但审计场景下更推荐用RLS+策略函数，可控性更强
最易被忽略的是日志源本身的权限控制——如果audit_log_raw表可被任意用户TRUNCATE或INSERT，再严格的视图也形同虚设。务必确认该表仅由审计服务账户拥有写权限，并设置REVOKE INSERT, UPDATE, DELETE ON audit_log_raw FROM PUBLIC;。
