【免费下载链接】PgQuePgQue – Zero-bloat Postgres queue built on top of on battle-proven Skypes PgQ. One SQL file to install, pg_cron to tick https://pgque.dev项目地址https://gitcode.com/gh_mirrors/pg/PgQue点击查看免费下载PgQue 是构建在老牌 Skype 消息队列 PgQ 之上的零膨胀zero-bloatPostgres 消息队列安装只需一个 SQL 文件。本文带你用它内置的pgque_reader/pgque_writer/pgque_admin三个角色完成生产者与消费者的最小权限分离为什么纯生产者绝不能能确认他人批次、如何按应用类型授权、以及升级时最容易被忽略的权限残留坑。为什么 Postgres 消息队列必须做角色分离在传统数据库权限里能写就能读很常见。但对消息队列来说这个默认值是危险的误确认风险如果生产者和消费者共用一个角色任何能调用send()的应用都能按批次 ID 调用ack()/finish_batch()把别的消费者正在处理的批次直接确认掉消息凭空消失。越权窥探风险同权限的生产者还能读取他人活跃批次的内容、重置他人消费游标、重放他人事件。误操作扩散没有默认拒绝任何能连上库的角色都能执行队列内的函数。PgQue 针对这些威胁内置了兄弟角色模型而非父子继承pgque_reader和pgque_writer互相不继承pgque_admin同时是两个角色的成员。完整定义见 roles.sql其中注释解释了为什么必须是兄弟角色而不是 writer 继承 reader。三个角色一览谁能生产、谁能消费、谁能运维角色适合谁能做什么不能做什么pgque_reader消费者、监控面板消费 APIsubscribe、unsubscribe、receive、ack、nack、只读信息函数、表的select生产消息pgque_writer生产者生产 APIsend、send_batch、insert_event、DLQ 重放消费、确认批次pgque_admin运维、迁移脚本同时是 reader 和 writer 成员加生命周期与 DDL建/删队列、start/stop、maintuninstall()被显式收回仅 schema owner / 超级用户可执行权限矩阵与逐项授权逻辑在 roles.sql 中按reader 消费原语 → writer 生产原语 → admin 全量三段清晰编排每个函数的授权归属还可对照 reference.md 的角色章节。最快授权方法按应用类型授予角色官方安装文档给出了三种典型授权姿势详见 installation.md 的 Roles and grants 一节-- 既生产又消费的应用必须显式授予两个角色 grant pgque_writer to app_orders; grant pgque_reader to app_orders; -- 纯生产者服务只给 writer grant pgque_writer to app_webhook; -- 纯消费者 / 监控服务只给 reader grant pgque_reader to metrics;记住一句话既生产又消费的应用两个角色都要授没有任何自动继承的兜底。关键验证纯生产者被拒绝一切消费操作PgQue 用回归测试把安全边界钉死。test_security_producer_isolation.sql 模拟了一个攻击者场景受害者消费者victim打开一个活跃批次攻击者角色producer_only只有pgque_writer依次尝试ack()确认他人批次、finish_batch()关闭批次、register_consumer_at()重置他人游标、get_batch_events()读取他人批次内容、event_retry()重放他人事件以上每一项都必须抛出insufficient_privilege测试才算通过。而 test_e2e_role_split.sql 则验证了合法路径pgque_writer角色成功sendsend_batch后被拒绝receive/ack/subscribepgque_reader角色成功receiveack全部 7 条消息后被拒绝send/send_batch。生产 → tick → 消费整条链路在严格角色分离下依然畅通。默认拒绝PUBLIC 一律不能执行任何 PgQue 函数在 roles.sql 中有一行全局性的安全网revoke execute on all functions in schema pgque from public;也就是说没有拿到任何 PgQue 角色的裸角色一个函数都执行不了。这条deny-by-default策略由 test_security_public_execute.sql 守护它用一个零授权的哨兵角色扫描pgqueschema 下所有函数只要发现任何一个可执行就断言失败。pgque_admin 的边界连 uninstall 也不给pgque_admin拿到的是 schema 内all on tables / sequences / functions的全量授权但有两个显式例外见 roles.sqluninstall()会从 admin 角色上显式收回EXECUTE——删库操作只留给 schema owner / 超级用户test_uninstall_guard.sql 还进一步验证了卸载前必须先成功停止调度任务失败时不得吞错继续删 schemainsert_event_bulk()这类内部原语对 admin 也收回强制所有调用方走稳定的send_batch()接口get_batch_cursor()这个 PgQ 兼容的底层游标原语保持 admin-only应用层应使用pgque.receive()ticker_loop()过程仅授予pgque_admin生产环境中即 pg_cron 使用的服务角色。最容易翻车的点升级不会自动清掉旧权限Postgres 的两个历史包袱特性在这里很关键create or replace function会保留函数上已有的授权Postgres不会在重装时自动撤销角色间的成员授予。因此存在旧版本producer 曾继承 reader的库直接重装安装脚本并不会修复权限——旧的pgque_writer → pgque_reader继承会悄悄保留安全修复形同虚设。好在安装脚本已内置显式撤销逻辑roles.sql 会先检查并撤销旧继承再按兄弟角色模型重新授权消费侧原语从 writer 迁移到 reader 的函数级旧授权也逐一先revoke再grantroles.sql。升级建议完整说明见 installation.md 的 Upgrading 一节以 schema owner 或超级用户身份在单个事务内重新执行安装脚本升级后用select pgque.version();确认版本用has_function_privilege(pgque_writer, pgque.ack(bigint), EXECUTE)之类语句抽查writer 不应拥有 ack这类关键断言参考 test_pgque_roles.sql 中的断言清单。实践清单5 步完成最小权限配置 ✅安装后确认三角色存在pgque_reader、pgque_writer、pgque_admin安装脚本自动创建见 roles.sql。按职责建应用角色每个服务一个独立 role纯生产者只授 writer纯消费者/监控只授 reader双角色应用两个都授。应用连接串指向应用角色绝不用超级用户或 owner 角色跑业务。生命周期操作建队列、tick、maint交给持pgque_admin的运维角色并让 pg_cron 以该角色运行。升级后跑一遍安全回归tests/ 目录下的test_security_producer_isolation.sql、test_security_public_execute.sql、test_pgque_roles.sql是现成的验收标准。⚠️ 一个边界提醒PgQue 的角色是数据库级的粗粒度权限不是按队列或按租户的隔离。pgque_reader可以读所有队列的事件、对任意队列的任意批次确认。需要互不信任的多租户隔离时请让各租户使用独立数据库。更多细节见 reference.md。小结pgque_reader/pgque_writer是兄弟角色互相不继承pgque_admin是两者成员 运维全量权限但uninstall()只留给超级用户。既生产又消费的应用必须显式双授没有继承兜底。PUBLIC 被默认拒绝任何未授权角色执行不了pgqueschema 下的函数。升级旧安装时必须依赖脚本内的显式revoke逻辑清理历史授权并做版本与权限抽查。把这套模型跑通后你的 PgQue 就同时做到了业务上多消费者线性扩展可参考 subconsumer-scaling 实验安全上每个应用只握有它工作所需的最小钥匙。赞分享【免费下载链接】PgQuePgQue – Zero-bloat Postgres queue built on top of on battle-proven Skypes PgQ. One SQL file to install, pg_cron to tick https://pgque.dev项目地址https://gitcode.com/gh_mirrors/pg/PgQue点击查看免费下载相关推荐如何自定义live-app-android界面UI组件与用户体验优化技巧如何自定义live app android界面UI组件与用户体验优化技巧 live app android是一款专注于实时位置共享功能的Android应用框架最完整n8n权限管理指南从角色配置到安全实践最完整n8n权限管理指南从角色配置到安全实践 你还在为团队协作时的权限管控头疼吗员工离职后如何快速收回系统访问权不同部门需要不同的数据操作范围怎么办本文工作流自动化人工智能AI Agent后端前端低代码Velero 最小权限 RBAC 配置指南从 cluster-admin 到受限权限的安全加固实践Velero 最小权限 RBAC 配置指南从 cluster admin 到受限权限的安全加固实践 导读 Velero 默认以 ClusterRole clu云原生灾备存储后端创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考