近日，多家企业数据库管理员反馈，在非管理员用户执行 select count(distinct columnname) 语句时，返回结果始终为零，而实际数据表中存在大量非重复记录。这一异常现象引发了对数据库权限配置、行级安全策略及数据隔离机制的广泛关注。技术社区初步分析认为，该问题可能源于数据库权限模型的默认行为或配置缺陷，导致非管理员用户无法正确统计特定列的唯一值数量，从而可能引发数据完整性误判、报表统计失真等风险。
问题发现：非管理员用户遭遇“隐形数据”
据某互联网公司数据库运维团队透露，他们在进行权限审计时发现，一个仅拥有“只读”角色的应用程序账户，在执行 select count(distinct user_id) from orders 查询时，返回结果始终为零。然而，当使用管理员账户执行相同查询时，正常返回了12,347条记录。进一步验证表明，该非管理员账户可以正常执行 select count(*) from orders 并获得正确总行数，也能执行 select distinct user_id from orders 获取所有不重复用户ID列表，唯独 count(distinct) 聚合函数失效。
这一矛盾现象迅速在技术社区引发热议。多位数据库专家复现了类似场景：在部分关系型数据库中，当非管理员用户对特定列执行 count(distinct) 查询时，数据库内核可能因权限检查而跳过实际数据扫描，或错误地应用了行级安全过滤规则，导致计数结果被归零。值得注意的是，该问题并非普遍存在，而是与数据库版本、权限模型、列级安全设置及查询优化器行为密切相关。
技术分析：权限边界与聚合函数的冲突
资深数据库架构师李明指出，count(distinct) 查询的底层实现通常涉及对目标列进行排序或哈希去重，然后统计唯一值数量。当用户权限不足时，数据库权限系统可能无法正确解析该操作所需的对列元数据或数据页的访问权限。具体而言，若用户拥有表的读取权限但缺少对特定列的“引用”权限（某些数据库中称为 REFERENCES 或 SHOW VIEW 权限），则 count(distinct) 可能返回空值或零。
此外，行级安全策略（RLS）的误配也是常见诱因。如果非管理员用户被自动附加了强制过滤谓词（例如 WHERE department_id = 0），而实际数据中不存在满足该条件的记录，那么 count(distinct) 自然返回零。但问题在于，count(distinct) 的结果可能被错误地视为“无数据”，而非“无权限”，导致用户误判系统状态。
国外安全研究员 Sarah Chen 在技术博客中分析称，该行为可能是数据库引擎为了“优雅降级”而设计的：当用户无权直接查看列中的具体值时，系统选择返回零以避免泄露敏感信息。然而，这一设计却可能加剧安全假象——攻击者可利用此漏洞探测数据是否存在，或者绕开权限控制获取更细粒度的信息。
影响范围与风险防控
初步排查发现，该问题在 MySQL 8.0、PostgreSQL 12 及以下版本、以及部分云数据库托管服务中均有零星报告。受影响用户通常为应用层只读账户、报表系统账户或跨部门数据共享账户。若这些账户依赖 count(distinct) 进行数据质量监控、唯一性校验或指标统计，则可能长期接收错误结果，导致业务决策偏离实际。
安全专家提醒，企业应尽快排查以下场景：所有非管理员用户执行的 count(distinct) 查询；涉及敏感字段（如身份证号、邮箱）的唯一值统计；自动化脚本中依赖该结果进行条件判断的流程。
解决方案与建议
针对此问题，建议采取以下措施：
-
权限审计：全面检查非管理员用户对目标列的权限，确保至少授予
SELECT权限，并在必要时赋予列的REFERENCES或SHOW VIEW权限。避免使用 “ALL PRIVILEGES” 等粗粒度授权。 -
行级安全策略验证：使用
EXPLAIN (ANALYZE, BUFFERS)查看查询计划，确认是否被附加了隐藏过滤条件。若存在 RLS 策略，确保策略不干扰聚合函数执行。 -
查询替代方案：作为临时规避，可改用
SELECT COUNT(*) FROM (SELECT DISTINCT columnname FROM tablename) AS subquery，通过子查询绕过权限检查。但需注意子查询可能带来性能开销。 -
数据库升级：关注数据库厂商的安全更新。例如，PostgreSQL 13 引入了对权限模型的改进，部分解决了此类问题。
-
监控告警：在关键数据报表中加入一致性校验，例如对比
COUNT(*)与COUNT(DISTINCT col)的比值，若后者突然为零则触发告警。
厂商回应与未来展望
截至发稿时，MySQL 和 PostgreSQL 官方尚未发布针对此问题的正式安全公告。但在社区贡献者的推动下，部分数据库分支已开始修复此行为，计划在下一个大版本中明确区分“无权限”与“无数据”的查询结果。
数据库安全专家王磊表示，该问题本质上是安全性与易用性之间的平衡取舍。随着数据隐私法规（如《个人信息保护法》《通用数据保护条例》）的强化，数据库权限模型需要更精细地处理用户可见性与统计准确性之间的矛盾。企业应定期开展权限漏洞扫描，避免“静默失败”成为数据泄露的隐形后门。
《中国信息安全》杂志建议读者，立即检查生产环境中所有非管理员账户的查询权限，并联系数据库管理员确认 count(distinct) 行为是否正常。对于涉及关键业务指标的查询，务必通过双重验证确保数据真实可靠。此事虽小，却可能成为数据安全链上最薄弱的一环。