Security definer views should be allowed in certain conditions

Đang mở
  • Có gì không ổn?
#140 1 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
5/5
Thời gian dự kiến
Hơn một tuần
Mức phù hợp với người mới
38/100
Loại issue
Lỗi
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Ít trao đổi
Công nghệ
postgres
Lĩnh vực
databases, security

Hướng nghiên cứu

Bắt đầu bằng cách tái hiện bản phác thảo SQL trong PostgreSQL và kiểm tra cách linter hiện gắn cờ các security definer views. So sánh các điều kiện security_barrier và SELECT-only grant được đề xuất với hành vi hiện có; được xem là hoàn tất khi các qualifying views được cho phép hoặc hạ xuống thành cảnh báo có thể bỏ qua mà không cho phép các mutation không an toàn.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

bug

Bug report

  • I confirm this is a bug with Supabase, not with my own application.
  • I confirm I have searched the Docs, GitHub Discussions, and Discord.

Describe the bug

"security definer" views are flagged as an error.

There are cases where RLS is not the right tool for the job, such as where the per-row checks are very expensive, or where certain columns should not be shown to the user. Postgres has two features I can think of that are helpful here:

  1. A view with security_invoker=true that calls a security definer function
  2. A view wth secuity_invoker=false, secuirty_barrier=true

This is touched on in #98, but the discussion focussed on dismissing the error.

I believe the correct behaviour is to allow security definer views if the following conditions are met:

  1. security_barrier=true – this prevents predicate injection
  2. grant is limited to select operation only – this prevents mutating the base table if the view is a simple view

Given the intention is to take away footguns from the user base, a warning that could be dismissed also seems fine.

Sketch

To verify the behaviour:

create schema app;

create table app.test (
  id uuid primary key default gen_random_uuid(),
  slug text unique
);

-- optionally
-- alter table app.test enable row level security;

create view app.test_v as select * from app.test;

create role app_user;
grant app_user to postgres;

revoke all privileges on app.test from app_user;
revoke all privileges on app.test_v from app_user;

-- if RLS is enabled
-- grant select on app.test 

grant select on app.test_v to app_user;
grant usage on schema app to app_user;

-- security vulnerability (simple views only)
-- grant insert, update, delete on app.text_v to app.user;

set role app_user; 

select * from app.test; -- ERROR: permission denied for table test
select * from app.test_v; -- rows
insert into app.test_v (slug) values ('hello'); -- ERROR:  permission denied for view test_v

reset role;
Ngôn ngữ chính
PLpgSQL
Star
284
Fork
110
Không có pull request nào được merge trong 30 ngày

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của supabase/splinter

Tất cả issue của supabase/splinter

Issue tương tự

Thêm issue về Databases

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.