GRANT SELECT ON VIEW 仅对视图本身生效，用户只能查询该视图，无法访问底层基表；但需确保视图依赖对象（如基表、函数、序列）权限完备，且未授予 VIEW DEFINITION 等泄露结构的权限。

GRANT SELECT ON VIEW 只对视图本身生效

直接给视图授 SELECT 权限，开发人员只能查这个视图，但无法访问其底层基表——前提是视图定义中不包含未授权的敏感列或表，且数据库未启用「视图定义者权限」模式（如 PostgreSQL 的 SECURITY DEFINER 视图）。MySQL 和 SQL Server 默认按调用者权限（SECURITY INVOKER）执行，所以只要基表没被额外授权，视图就是安全的隔离层。

常见错误是误以为“只授视图权限就万事大吉”，结果开发人员执行 SELECT * FROM my_view 时失败，原因往往是：视图依赖的某张基表已被删除、重命名，或当前用户对基表有 SELECT 但没 REFERENCES（如涉及外键列），又或者视图用了函数/表达式触发了隐式权限检查。

• 先确认视图可执行：SELECT * FROM my_view LIMIT 1，失败则用 SHOW CREATE VIEW my_view 检查依赖
• 在 MySQL 中，确保创建视图的用户有基表权限，且你用的是同一 schema 下的视图名（不含库前缀易导致解析失败）
• SQL Server 要注意视图是否跨库，跨库视图需显式授予目标库中基表的权限，或改用同义词（Synonym）+ 更细粒度控制

PostgreSQL 需额外处理视图依赖的序列和函数

PostgreSQL 视图若引用了 NEXTVAL()、CURRENT_USER 或自定义函数，仅授视图 SELECT 权限不够。函数本身可能需要 EXECUTE 权限，而序列需要 USAGE 或 SELECT 权限才能被视图读取当前值。

典型报错：permission denied for sequence users_id_seq 或 function get_user_role() does not exist or permission denied。

• 查视图定义：SELECT pg_get_viewdef('my_view');，定位所有非表对象
• 对每个序列执行：GRANT USAGE, SELECT ON SEQUENCE users_id_seq TO dev_user;
• 对每个函数执行：GRANT EXECUTE ON FUNCTION get_user_role() TO dev_user;
• 避免在视图里调用需高权限的函数（如 pg_read_file()），这类函数即使封装进视图也无法绕过权限校验

SQL Server 中 VIEW DEFINITION 权限会泄露结构

开发人员拿到 SELECT 权限后，如果还被意外授予了 VIEW DEFINITION，就能通过 sp_helptext 'my_view' 或查询 sys.sql_modules 看到视图 SQL，从而反推出基表名、字段逻辑甚至 JOIN 条件——这在脱敏场景下是严重风险。

默认新建用户不会自动获得该权限，但 DBA 批量脚本常误加；SSMS 图形界面勾选“查看定义”也会悄悄带上它。

• 检查是否多余授予：SELECT * FROM sys.database_permissions WHERE grantee_principal_id = USER_ID('dev_user') AND permission_name = 'VIEW DEFINITION';
• 显式拒绝：DENY VIEW DEFINITION ON OBJECT::my_view TO dev_user;（注意：DENY 优先级高于 GRANT）
• 若需审计用途，改用 SELECT 权限 + 单独审批的只读 DBA 账号查定义，而非开放给开发账号

权限变更后必须测试实际执行计划

有些数据库（特别是 Oracle 和较新版本 SQL Server）会在首次查询视图时缓存执行计划，而该计划可能基于旧权限生成。如果之后撤回了某张基表权限，视图仍可能短暂返回结果，直到计划被清除或重新编译——造成“权限已收但还能查”的假象。

这不是 bug，是优化器行为。真正生效要等计划失效或手动刷新。

• SQL Server：执行 DBCC FREEPROCCACHE 清空计划缓存（生产慎用），或更安全地对单个视图重编译：EXEC sp_recompile 'my_view';
• PostgreSQL：无全局计划缓存，但函数内联可能影响，可设 SET LOCAL statement_timeout = '5s'; 强制重解析
• 最可靠验证方式：换一个全新连接（断开再重连），执行 SELECT COUNT(*) FROM my_view，观察是否报权限错误

权限边界往往不在语句本身，而在视图背后那些没被看见的依赖对象和缓存行为。