给 Agent 一条只读且限域的数据通道：只读角色、行级权限与语义层

原则很简单：Agent 用的账号只有 SELECT，且只覆盖它该看的对象。不要用应用主账号，更不要用超级用户。

-- 1) 建一个专用登录角色
CREATE ROLE agent_ro LOGIN PASSWORD '换成强密码';

-- 2) 允许连接，但只给只读权限
GRANT CONNECT ON DATABASE analytics TO agent_ro;
GRANT USAGE   ON SCHEMA public       TO agent_ro;
GRANT SELECT  ON ALL TABLES IN SCHEMA public TO agent_ro;

-- 3) 以后新建的表也自动只给 SELECT（关键，否则新表会漏配）
ALTER DEFAULT PRIVILEGES IN SCHEMA public
  GRANT SELECT ON TABLES TO agent_ro;

-- 4) 显式回收写入类权限（防手滑）
REVOKE INSERT, UPDATE, DELETE, TRUNCATE ON ALL TABLES IN SCHEMA public FROM agent_ro;

PostgreSQL 的行级安全（RLS）是在数据库层执行的，Agent 绕不过去——这正是它的价值所在：规则不写在提示词里，写在数据库里。

-- 开启行级安全
ALTER TABLE orders ENABLE ROW LEVEL SECURITY;

-- 只对 Agent 角色生效的策略：只能看到与当前会话上下文一致的区域
CREATE POLICY agent_region_policy ON orders
  FOR SELECT TO agent_ro
  USING (region = current_setting('app.region', true));

-- 每次连接时由你的服务端设置上下文（不要交给模型决定）
SET app.region = 'AU';

指标口径最怕的是每个人（和每个 Agent）各算一遍。用视图把定义钉死，Agent 只能引用，不能重算：

-- 口径固化：净收入 = 成交额 - 退款 - 折扣
CREATE VIEW v_net_revenue AS
SELECT
  date_trunc('month', o.created_at) AS month,
  o.region,
  SUM(o.amount - COALESCE(o.refunded, 0) - COALESCE(o.discount, 0)) AS net_revenue
FROM orders o
WHERE o.status = 'completed'
GROUP BY 1, 2;

-- Agent 只能看到视图，看不到底层表的裸列
GRANT SELECT ON v_net_revenue TO agent_ro;
REVOKE SELECT ON orders FROM agent_ro;   -- 或者一开始就别授予

交给 Agent 的上下文（推荐）：
  · 允许访问的视图清单（通常 5-20 个）
  · 每个视图的业务含义与适用场景
  · 指标口径说明 + 常见同义词
  · 明确列出「不可访问」的对象，让它知道自己不该碰什么

不要交给 Agent 的：
  · 全库表结构
  · 任何含 PII 的列（手机号、证件号、地址）
  · 生产库的写连接串

当指标数量超过几十个、消费方从 1 个变成 5 个以上时，手写视图会开始失控。这时该上语义层：一份指标定义，服务所有下游。两条主流路线：

Cube 可以用 Docker 在本地起一个最小实例验证思路：

docker run -p 4000:4000 -p 15432:15432 \
  -v ${PWD}:/cube/conf \
  -e CUBEJS_DEV_MODE=true \
  cubejs/cube

# 然后在 model/cubes/ 下用 YAML 定义指标与维度，
# 例如给 orders 定义 revenue 指标、region 维度，
# 再用 access_policy 配置行级过滤（具体语法以官方文档为准）。
# 起好后访问 http://localhost:4000 打开 Playground 试查询。