sec: 함수 기본권한 deny-by-default — 신설 함수 기본 ACL {postgres, service_role} 뿐

[seizeh]

무엇이

#210(edge_alert_fire authenticated 구멍)의 재발 구조 차단. 운영 pg_default_acl 이 새 public 함수에 authenticated EXECUTE 를 자동 부여하고 있었다 — service 전용 함수에서 revoke 를 잊으면 그대로 조용한 보안 구멍. 테이블 T/T/R 에 했던 20260920045336 과 같은 조치의 함수판.

왜 두 건인가 (프로브 실측)

1. 20260929045320: 스키마 항목에서 authenticated 제거. 그런데 프로브 결과 신설 함수가 여전히 {=X, postgres, service_role} — 스키마 단위 기본권한은 내장 기본값(함수는 PUBLIC=EXECUTE)에 더해질 뿐 내장을 못 걷어낸다. 지금껏 안 터진 건 모든 함수 신설 마이그레이션이 revoke from public 을 명시한 관례 덕.
2. 20260929050613: 내장을 바꾸는 유일한 레버인 전역(무스키마) 항목으로 PUBLIC 제거.

검증

• 프로브(롤백 트랜잭션): public 신설 → {postgres=X, service_role=X}, auth/anon 실행 불가 · app 신설 → {postgres=X}
• 기존 함수 ACL 불변 — 주간 점검 ⑭ 전항목 일치(anon 11·authenticated 81), create_post_verified 등 기존 RPC 실행권 확인
• 스냅샷 바이트 불변(커밋본 _schema_dump.sh 로 재덤프 diff 0 — 덤프가 ALTER DEFAULT PRIVILEGES 줄을 걸러내므로 pgtap·replay 무영향)

이후 규칙

사용자용 RPC 신설 마이그레이션에 명시 grant execute … to authenticated 필수(최근 마이그레이션 전부 이미 하던 관례). app 스키마 신설 함수를 RLS·invoker 경로에서 쓸 때도 동일. 누락의 실패 방향이 '조용한 구멍' → '앱에서 즉시 permission denied' 로 반전된다.

🤖 Generated with Claude Code