1. 理解PostgreSQL用户体系
PostgreSQL作为企业级关系型数据库，其用户管理系统具有高度的灵活性和安全性。与常见的"用户"概念不同，PostgreSQL中实际存在两种角色：登录角色（Login roles）和组角色（Group roles）。这两种角色在8.1版本后已统一用ROLE机制管理，但功能上仍保持差异。
登录角色相当于传统意义上的用户账户，拥有密码认证和连接权限。而组角色更多用于权限管理，可以包含其他角色作为成员。这种设计使得权限分配可以像Linux系统组一样实现层级化管理。
注意：PostgreSQL中USER和ROLE本质是同义词，CREATE USER命令实际是CREATE ROLE的别名，只是默认带有LOGIN权限。这种设计历史可以追溯到早期版本的用户/组分离架构。
2. 查询用户信息的核心方法
2.1 使用系统目录视图
最权威的用户信息存储在pg_catalog.pg_roles系统视图中，这个视图包含了所有角色的完整属性：
sql复制SELECT rolname, rolsuper, rolcreaterole, rolcreatedb,
rolinherit, rolcanlogin, rolconnlimit, rolvaliduntil,
rolreplication, rolbypassrls
FROM pg_roles;
各字段含义：
- rolname：角色名称
- rolsuper：是否超级用户
- rolcreaterole：能否创建新角色
- rolcreatedb：能否创建数据库
- rolinherit：是否继承权限
- rolcanlogin：能否作为登录角色
- rolconnlimit：连接数限制
- rolvaliduntil：密码有效期
- rolreplication：是否复制角色
- rolbypassrls：是否绕过行级安全策略
2.2 快速查看可登录用户
如果只需要查看实际能登录的用户（排除组角色），可以过滤rolcanlogin字段：
sql复制SELECT rolname FROM pg_roles WHERE rolcanlogin;
或者使用pg_user视图（这是pg_roles的子集）：
sql复制SELECT usename, usesysid, usecreatedb, usesuper,
userepl, usebypassrls, passwd, valuntil
FROM pg_user;
2.3 查看用户权限详情
要获取更详细的权限信息，可以使用\du元命令（在psql客户端中）：
sql复制\du
或者查询pg_default_acl视图查看默认权限：
sql复制SELECT defaclrole::regrole, defaclobjtype, defaclacl
FROM pg_default_acl;
3. 高级查询技巧
3.1 查看用户对象所有权
查找特定用户拥有的所有对象：
sql复制SELECT n.nspname as schema, c.relname as object,
c.relkind as type, u.usename as owner
FROM pg_class c
JOIN pg_namespace n ON n.oid = c.relnamespace
JOIN pg_user u ON u.usesysid = c.relowner
WHERE u.usename = 'target_user';
3.2 检查用户连接状态
查看当前活跃连接的用户：
sql复制SELECT usename, client_addr, application_name,
backend_start, query_start, state
FROM pg_stat_activity;
3.3 用户密码加密方式
PostgreSQL支持多种密码加密算法，可以通过以下查询查看：
sql复制SELECT rolname, rolpassword
FROM pg_authid
WHERE rolcanlogin;
安全提示：pg_authid表只有超级用户可读，包含原始密码哈希值。普通用户应使用pg_user视图，它只显示passwd字段（可能为空或显示加密标记）。
4. 用户管理实践建议
4.1 创建最小权限用户
最佳实践是为每个应用创建专属用户，并仅授予必要权限：
sql复制CREATE USER app_user WITH PASSWORD 'secure_password';
GRANT CONNECT ON DATABASE app_db TO app_user;
GRANT USAGE ON SCHEMA app_schema TO app_user;
GRANT SELECT, INSERT, UPDATE ON ALL TABLES IN SCHEMA app_schema TO app_user;
4.2 定期审计用户权限
建议定期运行以下审计查询：
sql复制SELECT grantee, table_schema, table_name, privilege_type
FROM information_schema.table_privileges
WHERE grantee NOT IN ('postgres', 'PUBLIC');
4.3 密码策略实施
通过ALTER ROLE设置密码有效期：
sql复制ALTER ROLE user_name VALID UNTIL '2023-12-31';
或者使用pg_hba.conf强制特定用户使用SCRAM-SHA-256加密：
code复制hostssl all user_name 0.0.0.0/0 scram-sha-256
5. 常见问题排查
5.1 用户无法登录
检查项：
- 用户是否有LOGIN权限：
SELECT rolcanlogin FROM pg_roles WHERE rolname='user'; - 密码是否正确：
ALTER ROLE user_name WITH PASSWORD 'new_password'; - pg_hba.conf是否允许连接
- 连接数是否超限：
SHOW max_connections;
5.2 权限不生效问题
可能原因：
- 缺少USAGE权限：
GRANT USAGE ON SCHEMA schema_name TO user_name; - 权限未级联：
ALTER DEFAULT PRIVILEGES IN SCHEMA schema_name GRANT... - 角色成员关系未生效：
SET ROLE parent_role;
5.3 批量用户管理
使用psql的\gexec功能批量执行：
sql复制SELECT format('ALTER ROLE %I WITH NOLOGIN;', rolname)
FROM pg_roles
WHERE rolname LIKE 'temp_%' AND rolcanlogin;
\gexec
6. 性能优化建议
当系统中有大量用户时（数千以上），查询用户信息可能变慢。可以考虑：
- 创建特定视图加速常用查询：
sql复制CREATE VIEW active_users AS
SELECT * FROM pg_roles WHERE rolcanlogin;
- 对pg_roles表查询添加条件限制：
sql复制SELECT...FROM pg_roles WHERE rolname NOT LIKE 'pg_%';
- 定期清理不活跃用户：
sql复制DELETE FROM pg_auth_members
WHERE roleid IN (SELECT oid FROM pg_roles WHERE rolname='old_role');
在实际运维中，我发现很多团队忽视了PostgreSQL用户体系的层级特性。合理使用角色继承可以大幅简化权限管理。例如创建一个"analyst"角色，赋予只读权限，然后让所有分析人员继承这个角色，比单独管理每个用户要高效得多。