Text-to-SQL 如何接企业数据库：只读权限、指标口径与查询验收

这些约定是示例，财务部门需要确认实际口径。没有统一收入定义时先列出可能解释，让用户选择；不能随机取一个字段再在自然语言里称它为收入。使用的数据日期与指标版本也应写入结果。

给模型的数据目录包括获准查询的视图、字段含义、主键、关联方式和指标示例。避免一次暴露全部库结构，更不把真实密钥、用户令牌或未经许可的明细放入提示。业务系统认证后的部门和租户信息由服务端注入，不能从用户聊天里认领。

BigQuery 的官方指南提供自然语言生成、解释和改写 SQL 的能力，同时要求配置相应角色。该产品能力不是查询正确的证明。以下执行网关设计是本站建议，并非声明每个数据库或工具已经内置这些防护。

使用与实际数据库方言匹配的解析器，验证只包含允许的查询结构、表、列、函数和参数。拒绝多语句、写入、未经允许的动态执行和导出路径。字符串搜索 SELECT 不足以完成校验，合法查询里也可能调用带副作用或外部访问的函数。

可先生成业务查询计划：时间区间、分组维度、筛选范围和关联键，经规则核验后再生成参数化 SQL。模型生成的连接条件也要检查，禁止对高基数明细直接相乘后求和。用户补充范围后重新生成计划，不能在历史查询上机械追加片段。

只读账号只允许所需视图与函数，不持有建表、导出、管理和写权限。需要租户或部门隔离时在可信执行层与数据库策略落实；连接池复用前清理授权上下文，防止上个用户的会话状态沿用。

PostgreSQL 文档说明行级安全可以按用户限制可见行，但超级用户和 BYPASSRLS 角色会绕过，表所有者通常也会绕过。不要用这些身份测试通过后就认为普通用户隔离有效。涉及视图与函数时，还要按实际版本核对执行身份及权限语义。

视图或 SECURITY DEFINER 函数可能以所有者身份访问数据。用实际应用角色、通过同一个视图或函数执行跨租户反例；直接表查询被隔离，不证明间接路径也被隔离。

汇总只覆盖当前身份可见的行与获准指标、维度，不为“全公司总数”改用更大权限账号。确需独立汇总结果时，使用单独授权的受控指标接口，并按其披露规则验收。

限制语句时间、扫描或计算预算、返回行数、并发与允许执行的时段。LIMIT 主要限制结果行数，不保证聚合扫描很小。云数仓可利用查询计划和成本预估，具体能力以实际产品为准；预估通过后仍要有执行时的上限。

回传模型的数据应遵循字段最小化和脱敏规则。高敏明细不要因为 SQL 成功就展示。零行结果要区分权限范围内确实无匹配、条件未确认和资料未同步。错误提示保留诊断编号，面向用户避免暴露表名、凭证或内部连接地址。

再测试用户要求“忽略权限看全公司”、让模型调用导出函数、超大时间区间和多轮修改部门。所有拒绝都应在执行前或数据库权限层生效，而不是答案生成后删去敏感文字。也要检查拒绝后不会自动改用权限更大的备用账号。

先开放少数稳定指标与明确维度，记录每次问题、指标版本、执行身份、查询指纹、结果时间和失败原因。日志脱敏并限制查阅，不把原始结果无限保存。错误频繁的指标暂停开放，修复规则后用同一参考题回放。

不要一开始允许模型查询任意业务表。新增指标应同时更新目录、权限、预算和测试集；业务指标定义改变时保留版本，解释旧答案为什么不同。读者能复算且能发现权限边界，才算可用的数据库问答。