允许访问在静态数据库上执行SQL查询

Question

我正在开展一个项目，我想让人们在PostgreSQL数据库上执行SQL查询。然后我只需要阻止人们攻击/攻击我的数据库。

我认为这可能是一种方法，只提供对数据库连接的查看访问权限。并使用EXPLAIN ANALYZE计算SQL查询的成本。

EXPLAIN ANALYZE是否值得信赖，以确保没有廉价的方法来关闭网站？

你有什么建议吗？

Answer 1

EXPLAIN ANALYSE将执行查询，包括它可能具有的任何副作用。 PostgreSQL还允许运行任意Perl和Python代码（如果配置为这样做），所以要小心。您可能最好在每个请求的VM或类似的高度隔离的环境中运行PostgreSQL实例。