SELinux 的安全模型将所有访问控制规则描述为主体实体（通常是数据库的客户端）和对象实体（例如数据库对象）之间的关系，每个实体都由安全标签标识。如果尝试访问未标记的对象，则该对象将被视为已分配标签 unlabeled_t。

目前，sepgsql 允许将安全标签分配给模式、表、列、序列、视图和函数。当使用 sepgsql 时，安全标签会在创建时自动分配给受支持的数据库对象。此标签称为默认安全标签，并根据系统安全策略确定，该策略将创建者的标签、分配给新对象父对象的标签以及构造对象的名称（可选）作为输入。

新的数据库对象基本上会继承父对象的安全性标签，除非安全策略具有称为类型转换规则的特殊规则，在这种情况下可能会应用不同的标签。对于模式，父对象是当前数据库；对于表、序列、视图和函数，是包含模式；对于列，是包含表。

对于表，db_table:select、db_table:insert、db_table:update 或 db_table:delete 会根据语句类型检查所有引用的目标表；此外，db_table:select 还会检查所有包含 WHERE 或 RETURNING 子句中引用的列的表，作为 UPDATE 的数据源，依此类推。

还会检查每个引用列的列级权限。db_column:select 不仅会检查使用 SELECT 读取的列，还会检查在其他 DML 语句中引用的列；db_column:update 或 db_column:insert 还会检查由 UPDATE 或 INSERT 修改的列。

例如，考虑

UPDATE t1 SET x = 2, y = func1(y) WHERE z = 100;

此处，db_column:update 将针对 t1.x 进行检查，因为它正在更新，db_column:{select update} 将针对 t1.y 进行检查，因为它既更新又引用，db_column:select 将针对 t1.z 进行检查，因为它只被引用。 db_table:{select update} 也将在表级别进行检查。

对于序列，当我们使用 SELECT 引用序列对象时，会检查 db_sequence:get_value；但是，请注意，我们目前不会检查诸如 lastval() 之类的对应函数执行的权限。

对于视图，将检查 db_view:expand，然后对从视图展开的对象单独检查任何其他必需的权限。

对于函数，当用户尝试将函数作为查询的一部分或使用快速路径调用执行函数时，将检查 db_procedure:{execute}。如果此函数是可信过程，它还将检查 db_procedure:{entrypoint} 权限以检查它是否可以作为可信过程的入口点执行。

为了访问任何架构对象，需要在包含架构上具有 db_schema:search 权限。当引用对象时，如果没有此权限，则不会搜索架构（就像用户没有架构的 USAGE 权限一样）。如果存在显式架构限定，则如果用户对命名的架构没有必需的权限，则会发生错误。

即使引用表和列来自随后展开的视图，客户端也必须被允许访问它们，以便我们应用与表内容引用方式无关的一致访问控制规则。

默认数据库权限系统允许数据库超级用户使用 DML 命令修改系统目录，并引用或修改 toast 表。当启用 sepgsql 时，禁止这些操作。

SELinux 定义了多个权限来控制每种对象类型的常见操作；例如创建、更改、删除和重新标记安全标签。此外，多个对象类型具有特殊权限来控制其特征操作；例如在特定架构中添加或删除名称条目。

创建新的数据库对象需要 create 权限。SELinux 将根据客户端的安全标签和新对象的拟议安全标签授予或拒绝此权限。在某些情况下，需要其他特权

执行 DROP 命令时，将在要删除的对象上检查 drop。还将检查通过 CASCADE 间接删除的对象的权限。删除特定模式中包含的对象（表、视图、序列和过程）还需要模式上的 remove_name。

执行 ALTER 命令时，将针对要修改的对象检查 setattr，适用于每个对象类型，但表索引或触发器等辅助对象除外，对于这些对象，将在父对象上检查权限。在某些情况下，需要其他权限

可信过程类似于安全定义器函数或 setuid 命令。SELinux 提供了一项功能，允许可信代码使用与客户端不同的安全标签运行，通常是为了提供对敏感数据的高度受控访问（例如，可能会省略行，或者存储值的精度可能会降低）。函数是否充当可信过程由其安全标签和操作系统安全策略控制。例如

postgres=# CREATE TABLE customer (
               cid     int primary key,
               cname   text,
               credit  text
           );
CREATE TABLE
postgres=# SECURITY LABEL ON COLUMN customer.credit
               IS 'system_u:object_r:sepgsql_secret_table_t:s0';
SECURITY LABEL
postgres=# CREATE FUNCTION show_credit(int) RETURNS text
             AS 'SELECT regexp_replace(credit, ''-[0-9]+$'', ''-xxxx'', ''g'')
                        FROM customer WHERE cid = $1'
           LANGUAGE sql;
CREATE FUNCTION
postgres=# SECURITY LABEL ON FUNCTION show_credit(int)
               IS 'system_u:object_r:sepgsql_trusted_proc_exec_t:s0';
SECURITY LABEL

上述操作应由管理用户执行。

postgres=# SELECT * FROM customer;
ERROR:  SELinux: security policy violation
postgres=# SELECT cid, cname, show_credit(cid) FROM customer;
 cid | cname  |     show_credit
-----+--------+---------------------
   1 | taro   | 1111-2222-3333-xxxx
   2 | hanako | 5555-6666-7777-xxxx
(2 rows)

在这种情况下，普通用户无法直接引用 customer.credit，但可信过程 show_credit 允许用户打印客户的信用卡号，其中一些数字被屏蔽。

如果安全策略允许，可以使用 SELinux 的动态域转换功能将客户端进程的安全标签（客户端域）切换到新的上下文。客户端域需要 setcurrent 权限，还需要从旧域到新域的 dyntransition。

应仔细考虑动态域转换，因为它们允许用户根据自己的选择切换标签，从而切换权限，而不是（如可信过程中的情况）由系统强制执行。因此，仅当用于切换到权限集比原始权限集更小的域时，dyntransition 权限才被认为是安全的。例如

regression=# select sepgsql_getcon();
                    sepgsql_getcon
-------------------------------------------------------
 unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023
(1 row)

regression=# SELECT sepgsql_setcon('unconfined_u:unconfined_r:unconfined_t:s0-s0:c1.c4');
 sepgsql_setcon
----------------
 t
(1 row)

regression=# SELECT sepgsql_setcon('unconfined_u:unconfined_r:unconfined_t:s0-s0:c1.c1023');
ERROR:  SELinux: security policy violation

在上面的示例中，我们被允许从较大的 MCS 范围 c1.c1023 切换到较小的范围 c1.c4，但切换回被拒绝。

动态域转换和受信任过程的组合支持一个有趣的用例，该用例符合连接池软件的典型流程生命周期。即使您的连接池软件不允许运行大多数 SQL 命令，您也可以允许它使用受信任过程中的 sepgsql_setcon() 函数切换客户端的安全标签；这应采用某些凭据来授权切换客户端标签的请求。之后，此会话将具有目标用户的权限，而不是连接池程序的权限。连接池程序稍后可以通过再次使用带有 NULL 参数的 sepgsql_setcon() 来恢复安全标签更改，该参数再次从具有适当权限检查的受信任过程中调用。此处的重点在于，只有受信任过程实际上有权更改有效安全标签，并且仅在提供适当凭据时才这样做。当然，为了安全操作，凭据存储（表、过程定义或其他任何内容）必须受到未经授权的访问的保护。

我们全面拒绝 LOAD 命令，因为加载的任何模块都可以轻松规避安全策略执行。