PostgreSQL 9.3.3 发布变化

加固 GRANT ... WITH ADMIN OPTION 的限制（Noah Misch）

不带 ADMIN OPTION 授予角色本应阻止被授予者向该角色添加或移除成员，但这一限制很容易通过先执行 SET ROLE 绕过。其安全影响主要在于角色成员可以撤销其他人的访问权限，这违背了授权者的意愿。未经批准添加角色成员的影响相对较小，因为不配合的角色成员本来就可以通过创建视图或 SECURITY DEFINER 函数把自己的大部分权限提供给他人。（CVE-2014-0060）

防止通过手工调用 PL 验证器函数进行权限提升（Andres Freund）

PL 验证器函数的主要角色是在 CREATE FUNCTION 期间被隐式调用，但它们也是普通 SQL 函数，用户可以显式调用。对实际以其他语言编写的函数调用验证器此前未被检查，可能被用于权限提升。修复方法是在每个验证器函数中加入对权限检查函数的调用。非核心过程语言如果自带验证器函数，也需要做同样的修改。（CVE-2014-0061）

避免在表和索引 DDL 期间进行多次名称查找（Robert Haas、Andres Freund）

如果由于并发活动导致名称查找得出不同结论，我们可能会对不同的表执行 DDL 的不同部分。至少在 CREATE INDEX 的情况下，这可被用来让权限检查针对与索引创建不同的表执行，从而造成权限提升攻击。（CVE-2014-0062）

防止长日期时间字符串造成缓冲区越界（Noah Misch）

MAXDATELEN 常量对于 interval 类型可能的最长值来说太小，导致 interval_out() 中可能出现缓冲区越界。虽然日期时间输入函数在避免缓冲区越界方面更谨慎，但该限制仍短到导致它们拒绝某些有效输入，例如包含很长时区名的输入。ecpg 库存在这些漏洞以及它自身的一些漏洞。（CVE-2014-0063）

防止大小计算中的整数溢出导致缓冲区越界（Noah Misch、Heikki Linnakangas）

若干函数（大多是类型输入函数）在计算分配大小时未检查溢出。如果发生溢出，就会分配过小的缓冲区并被写越界。（CVE-2014-0064）

防止固定大小缓冲区越界（Peter Eisentraut、Jozef Mlich）

使用 strlcpy() 及相关函数，以明确保证固定大小缓冲区不会被越界写入。与前面几项不同，这些情况是否真的构成现实问题尚不清楚，因为在大多数情况下，输入字符串的大小似乎已有先前约束。尽管如此，消除所有此类 Coverity 警告似乎是明智的。（CVE-2014-0065）

避免在 crypt() 返回 NULL 时崩溃（Honza Horak、Bruce Momjian）

crypt() 可能返回 NULL 的场景相对较少，但如果发生，contrib/chkpass 就会崩溃。一个可能出问题的实际情况是 libc 被配置为拒绝执行未获批准的哈希算法（例如 “FIPS 模式”）。（CVE-2014-0066）

在回归测试说明中记录 make check 的风险（Noah Misch、Tom Lane）

由于 make check 启动的临时服务器使用 “trust” 认证，同一台机器上的其他用户可以以数据库超级用户身份连接它，进而可能利用启动测试的操作系统用户的权限。未来版本可能会在测试流程中加入防止此风险的变更，但需要先进行一些公开讨论。因此目前只是警告：当同一台机器上存在不受信任的用户时，不要使用 make check。（CVE-2014-0067）

重做元组冻结协议（Álvaro Herrera、Andres Freund）

元组冻结逻辑无法处理某些涉及多事务 ID冻结的情况，实际影响是共享行级锁在足够老之后可能被遗忘。

修复此问题需要更改元组冻结的 WAL 记录格式。这对独立服务器不成问题，但在使用复制时意味着备库服务器必须先于其主库升级到 9.3.3 或更高版本。较旧的备库将无法解释较新主库生成的冻结记录，并以 PANIC 消息失败。（在这种情况下，升级备库应足以让它恢复执行。）

创建单独的 GUC 参数来控制多事务冻结（Álvaro Herrera）

9.3 要求在多事务元组标签变得过老之前将其冻结，这与普通事务 ID 标签一段时间以来的冻结方式相同。此前，事务 ID 冻结参数也用于多事务 ID；但由于事务 ID 和多事务 ID 的消耗速率可能相差很大，这种做法效果不佳。现已引入新设置vacuum_multixact_freeze_min_age、vacuum_multixact_freeze_table_age和autovacuum_multixact_freeze_max_age来控制何时冻结多事务。

把本地更新传播的远程行锁考虑在内（Álvaro Herrera）

如果某行被事务 A 锁定，而事务 B 更新了它，B 创建的新行版本会被 A 锁定，却只对 B 可见。如果事务 B 随后再次更新该行，A 的锁不会被检查，从而可能允许 B 在不该完成时完成。这种情况是 9.3 新出现的，因为之前的版本没有任何允许其他事务更新被锁行的行锁类型。

这一疏忽可能导致引用完整性检查给出假阳性（例如允许本应被拒绝的删除）。使用新命令 SELECT FOR KEY SHARE 和 SELECT FOR NO KEY UPDATE 的应用也可能遭遇此类锁失效。

防止当某个行锁的多个持有者之一中止时“遗忘”有效的行锁（Álvaro Herrera）

这是共享行锁可能丢失的又一种机制，因此可能允许本应被外键约束阻止的更新。

修复更新链锁定期间的错误逻辑（Álvaro Herrera）

这一失误可能导致在 REPEATABLE READ 和 SERIALIZABLE 事务隔离模式下出现虚假的 “could not serialize access due to concurrent update” 错误。

在扩展或截断 pg_multixact/members 时正确处理回卷（Andres Freund、Álvaro Herrera）

修复 pg_multixact/members 中 5 位数字文件名的处理（Álvaro Herrera）

从 9.3 起，这些名称可能超过 4 位数字，但目录清理代码忽略了这类文件。

改进多事务缓存代码的性能（Álvaro Herrera）

优化更新已被同一事务锁定的行的过程（Andres Freund、Álvaro Herrera）

这修复了相比 9.3 之前版本在执行 SELECT FOR UPDATE 后接 UPDATE/DELETE 时的性能退化。

在归档恢复期间，当归档和 pg_xlog/ 中存在相同 ID 的 WAL 段时，优先选择最高时间线编号（Kyotaro Horiguchi）

此前，尚未归档的段可能在恢复期间被忽略。这把 9.3.0 中一个不理想的行为变更恢复为 9.3 之前的工作方式。

修复当关系的某些段不是完整大小时 WAL 记录可能被错误重放的问题（Greg Stark、Tom Lane）

WAL 更新可能被应用到错误的页面，甚至可能偏后很多页。除了损坏数据外，已观察到这一错误导致备库相比主库显著“膨胀”，因为更新被应用到了远超文件末尾应在位置的地方。这种失败模式在崩溃恢复期间似乎不构成重大风险，只在初始同步从快速变化的主库基础备份创建的备库时出现。

修复判断恢复何时达到一致性的缺陷（Tomonari Katsumata、Heikki Linnakangas）

某些情况下，WAL 重放会错误地在重放开始时就断定数据库已一致，从而可能在数据库真正一致之前允许热备查询。也可能出现其他症状，例如 “PANIC: WAL contains references to invalid pages”。

修复可见性映射变更的 WAL 记录（Heikki Linnakangas）

修复在热备模式下重放 VACUUM 操作时对 btree 索引页的不当锁定（Andres Freund、Heikki Linnakangas、Tom Lane）

这一错误可能导致 “PANIC: WAL contains references to invalid pages” 失败。

确保对 GIN 索引非叶页面的插入在合适时写入整页 WAL 记录（Heikki Linnakangas）

先前的代码在系统崩溃期间发生部分页写入时存在索引损坏风险。

当 pause_at_recovery_target 和 recovery_target_inclusive 都被设置时，确保目标记录在暂停之前而不是之后被应用（Heikki Linnakangas）

确保 walreceiver 即使在数据持续不断时也按时发送热备反馈消息（Andres Freund、Amit Kapila）

防止超时中断从主流程代码手中夺取控制权，除非设置了 ImmediateInterruptOK（Andres Freund、Tom Lane）

这对任何使用语句超时的应用都是一个严重问题，因为它可能在超时发生后造成各种奇怪的失败。我们见过关于自旋锁“卡住”、ERROR 意外升级为 PANIC、无法终止的后端进程以及其他异常行为的报告。

修复服务器进程退出期间的竞态条件（Robert Haas）

确保信号处理程序不会在进程的 MyProc 指针不再有效后尝试使用它。

修复 walsender 关闭逻辑和 walreceiver SIGHUP 信号处理程序中的竞态条件（Tom Lane）

修复错误报告逻辑中对 errno 的不安全引用（Christian Kruse）

这通常会导致奇怪的行为，例如 HINT 字段缺失或不恰当。

修复服务器启动期间过早使用 ereport() 可能导致的崩溃（Tom Lane）

我们在实际中见到的主要情况是：如果服务器在一个它没有读取权限的目录中被启动，就会崩溃。

在 OpenSSL 套接字写函数中正确清除重试标志（Alexander Kukushkin）

这一遗漏可能导致 SSL 加密连接意外断开后服务器锁死。

修复对包含转义的 Unicode 标识符（U&"..." 语法）的长度检查（Tom Lane）

如果标识符的转义形式过长，就会为这类标识符打印虚假的截断警告，但标识符在反转义之后实际上并不需要截断。

修复恰好在命令字符串或函数体末尾之前的 Unicode 字面量和标识符的解析（Tom Lane）

允许作为类型名的关键字用于角色列表（Stephen Frost）

先前的补丁允许这类关键字在角色标识符等位置不加引号使用；但漏掉了允许角色标识符列表的情况，例如 DROP ROLE。

修复 EXISTS(SELECT * FROM zero_column_table) 的解析器崩溃（Tom Lane）

修复嵌套子选择（例如 WHERE (... x IN (SELECT ...) ...) IN (SELECT ...)）因无效计划而可能崩溃的问题（Tom Lane）

修复对从 LATERAL 子查询上拉的 WHERE 条件的处理不当（Tom Lane）

此缺陷的典型症状是 “JOIN qualification cannot refer to other relations” 错误，不过在生成的计划中出现细微逻辑错误似乎也有可能。

禁止对 UPDATE/DELETE 的目标表进行 LATERAL 引用（Tom Lane）

虽然未来版本可能允许这样做，但它在 9.3 中是无意的，而且无论如何都不能正常工作。

修复对带 UNION ALL 子查询的继承目标表的 UPDATE/DELETE（Tom Lane）

如果不修复，UNION ALL 子查询就不能正确插入第一个之后的继承子表的更新计划中，通常导致那些子表完全没有被更新。

修复 ANALYZE 在列是范围类型之上的域时失败的问题（Tom Lane）

确保即使表列中的所有值都“过宽”，ANALYZE 也会为该列创建统计信息（Tom Lane）

ANALYZE 有意在直方图和最常用值计算中省略非常宽的值，但在所有采样条目都过宽的情况下没有做出合理的处理。

在 ALTER TABLE ... SET TABLESPACE 中，允许不经权限检查就使用数据库的默认表空间（Stephen Frost）

CREATE TABLE 一直允许这种用法，但 ALTER TABLE 没有照做。

修复对包含事件触发器的扩展的支持（Tom Lane）

修复当 CASE 的某些分支返回集合而另一些不返回时的 “cannot accept a set” 错误（Tom Lane）

修复 JSON 函数中的内存泄漏（Craig Ringer）

在生成 JSON 输出时正确区分数字与非数字（Andrew Dunstan）

修复 pgstat 函数中对全零客户端地址的检查（Kevin Grittner）

修复文本搜索解析器可能错误分类多字节字符的问题（Tom Lane）

在 C 区域设置下使用多字节编码时，非 ASCII 字符可能被错误分类。在 Cygwin 上，非 C 区域设置也可能失败。

修复 plainto_tsquery() 中可能的不当行为（Heikki Linnakangas）

在复制重叠内存区域时使用 memmove() 而不是 memcpy()。尚无实际造成问题的现场报告，但这无疑是有风险的。

修复 pg_start_backup() 和 pg_stop_backup() 中权限检查的位置（Andres Freund、Magnus Hagander）

先前的代码可能在不该访问系统目录时尝试访问。

在区域检查方面接受 SHIFT_JIS 作为编码名（Tatsuo Ishii）

修复 SQL 语言函数中命名参数的 * 限定（Tom Lane）

对于名为 foo 的组合类型参数，$1.* 工作正常，但 foo.* 就不行了。

修复 PQhost() 在 Windows 上的不当行为（Fujii Masao）

如果未指定主机，它应返回 localhost。

改进 libpq 和 psql 对 COPY TO STDOUT/FROM STDIN 期间失败的错误处理（Tom Lane）

这尤其修复了 9.2 及更高版本中，如果服务器连接在 COPY FROM STDIN 期间丢失可能发生的无限循环。该场景的变体在旧版本或其他客户端应用中也可能出现。

修复某些 psql \d 命令中不正确的翻译处理（Peter Eisentraut、Tom Lane）

确保 pg_basebackup 的前台进程退出时其后台进程被终止（Magnus Hagander）

修复 pg_basebackup 详细模式下文件名可能打印错误的问题（Magnus Hagander）

避免在基础备份中把 PGDATA 内的表空间包含两次（Dimitri Fontaine、Magnus Hagander）

修复 ecpg 中未对齐的描述符（MauMau）

在 ecpg 中正确处理连接参数中缺少主机名的情况（Michael Meskes）

修复 contrib/dblink 连接启动中的性能退化（Joe Conway）

在客户端和服务器编码一致时避免一次不必要的往返。

修复 contrib/isn 中 ISMN 值校验位计算错误的问题（Fabien Coelho）

修复 contrib/pgbench 的进度日志，避免缩放因子很大时溢出（Tatsuo Ishii）

修复 contrib/pg_stat_statement 对 CURRENT_DATE 及相关构造的处理（Kyotaro Horiguchi）

改进 contrib/postgres_fdw 对连接丢失的错误处理（Tom Lane）

确保仅安装客户端代码的流程按文档说明工作（Peter Eisentraut）

在 Mingw 和 Cygwin 构建中，把 libpq DLL 安装到 bin 目录（Andrew Dunstan）

这与 MSVC 构建长期以来的做法一致。它应该能解决 psql 等程序因找不到 DLL 而无法启动的问题。

在 Cygwin 构建中避免使用已弃用的 dllwrap 工具（Marco Atzeri）

支持使用 Visual Studio 2013 构建（Brar Piening）

不再生成纯文本的 HISTORY 和 src/test/regress/README 文件（Tom Lane）

这些文本文件与主文档的 HTML 和 PDF 格式重复。维护它们的麻烦远远超过纯文本格式可能的读者。发行版压缩包仍会包含这些名字的文件，但它们只是提示读者查阅主文档的存根。纯文本 INSTALL 文件仍将维护，因为它可以说还有使用场景。

把时区数据文件更新为 tzdata 版本 2013i，以反映约旦的夏令时法规变更和古巴的历史变更。

此外，时区 Asia/Riyadh87、Asia/Riyadh88 和 Asia/Riyadh89 已被移除，因为 IANA 不再维护它们，而且它们从未代表过实际的民用计时实践。