精要掌握磐维权限：Database 与 Schema 的核心差异

磐维数据库（PanWeiDB）的权限体系设计精妙，尤其在 Database（数据库） 和 Schema（模式） 层级，权限边界清晰。理解其区别是安全高效管理的关键。

一、 核心概念与关系

• Database (DB)：顶层逻辑容器，代表一个独立数据库实例 (如 finance_db)。用于隔离不同业务系统。

• Schema：存在于 Database 内部的逻辑命名空间 (如 finance_db 下的 reporting_schema)。用于组织表、视图等对象，实现 DB 内的逻辑隔离。

• 关系：Database 包含 Schema(s)， Schema 包含 对象。操作 Schema 内对象需先连接其所属 DB。

二、 Database 权限：入口与空间管理

控制对整个数据库的访问入口和结构管理能力：

1. CONNECT (核心)：允许用户连接到该 Database。无此权限，无法访问 DB 内任何内容。 (钥匙：打开仓库大门)

2. CREATE：允许在该 DB 内创建新的 Schema。(权限：在仓库内划分新区域)

3. TEMPORARY：允许在该 DB 内创建临时表。

核心作用： 控制谁能进入“仓库”并规划空间（创建 Schema）。

三、 Schema 权限：分区访问与对象操作

控制对特定 Schema 内部的访问和对象管理能力：

1. USAGE (核心)：允许用户“使用”该 Schema。是访问 Schema 内现有对象 (如表) 的先决条件。注意：仅 USAGE 不能操作对象！ (通行证：进入特定货架区)

2. CREATE：允许在该 Schema 内部创建新对象 (如表、视图)。(权限：在货架区摆放新货物)

核心作用： 控制谁能进入特定“货架区” (USAGE) 以及谁能在里面添加新物品 (CREATE)。操作具体对象 (SELECT/INSERT 等) 需额外授权。

四、 核心区别与依赖关系（一目了然）

五、 最佳实践与避坑指南

1. 最小权限原则： 严格按需授权，避免滥用 ALL PRIVILEGES。

2. 授权三步曲：

   1. 授予目标 DB 的 CONNECT (开门)。

   2. 授予目标 Schema 的 USAGE (进入分区)。

   3. 授予 Schema 内具体对象的操作权限 (操作货物) 或 Schema 的 CREATE (允许添加货物)。

3. 善用角色 (Role)： 将常用权限组合授予角色，再分配角色给用户，简化管理。

4. 关键误区规避：

   • ❌ 有 CONNECT 就能查所有表？ → ✔️ 还需目标 Schema 的 USAGE 和表的 SELECT 权限。

   • ❌ 有 Schema USAGE 就能查表？ → ✔️ USAGE 只是入场券，查表需额外 SELECT 授权。

   • ❌ CREATE 权限都一样？ → ✔️ DB 级 CREATE 建 Schema，Schema 级 CREATE 建对象。

   • ❌ 过度依赖 PUBLIC Schema → ✔️ 为不同模块创建专用 Schema，利于权限管控。

总结：权责清晰，安全基石

磐维权限设计的精髓在于分层控制：

• Database 权限是“总闸”：管连接 (CONNECT) 和空间规划 (CREATE Schema)。

• Schema 权限是“分区钥匙”：管进入 (USAGE) 和内部建设 (CREATE 对象)。

牢记 CONNECT -> USAGE -> 对象权限 的依赖链条，明晰两级 CREATE 的区别，结合最小权限和角色管理，即可构建磐维数据库安全高效的访问控制体系。