SQL - PostgreSQL - Security Definer View

PostgreSQL

 

 

✅ Security Definer View란?

---

뷰를 조회한 사용자의 권한이 아니라, 뷰를 만든 소유자의 권한을 기준으로 원본 테이블을 조회하는 뷰

RLS를 설정하고 다른 보안 조치를 취했다고 하더라도 만약 View가 Security Definer View로 설정되어 있다면, 모든게 무용지물이 된다.

 

사용자 권한으로 RLS를 적용시켜 접근하게 하려면 View에 다음 코드만 추가해주면 된다.

WITH (security_invoker = true)

CREATE OR REPLACE VIEW community_post_list_view
WITH (security_invoker = true)
AS 
SELECT
    posts.post_id,
    posts.title,
    posts.created_at,
    topics.name AS topic,
    profiles.name AS author,
    profiles.avatar AS author_avatar,
    profiles.username AS author_username,
    posts.upvotes,
    topics.slug AS topic_slug,
    (SELECT EXISTS (SELECT 1 FROM public.post_upvotes WHERE post_upvotes.post_id = posts.post_id AND post_upvotes.profile_id = auth.uid())) AS is_upvoted
FROM posts
INNER JOIN topics USING (topic_id)
INNER JOIN profiles USING (profile_id);