您當前位置：首頁 > 數(shù)據(jù)庫 > 數(shù)據(jù)庫應(yīng)用 > [精]Oracle VPD詳解(虛擬專用數(shù)據(jù)庫)

[精]Oracle VPD詳解(虛擬專用數(shù)據(jù)庫)

來源：程序員人生發(fā)布時間：2016-11-11 08:15:21 閱讀次數(shù)：6744次

所謂虛擬專用數(shù)據(jù)庫（VPD）指的是，通過在數(shù)據(jù)庫里進行配置，從而讓不同的用戶只能查看某個表里的部份數(shù)據(jù)。VPD分為以下兩個級別。

行級別：在該級別下，可以控制某些用戶只能查看到某些數(shù)據(jù)行。比如，對銷售數(shù)據(jù)表sales 來講，每一個銷售人員只能檢索出他自己的銷售數(shù)據(jù)，不能查詢其他銷售人員的銷售數(shù)據(jù)。

列級別：在該級別下，可以控制某些用戶不能檢索某個表的某個列的值。比如用戶HR 下的 employees 表中，含有工資（salary）列，由于該列比較敏感，因此不讓其他用戶查詢該列的值。其他用戶檢索該列時，會發(fā)現(xiàn)其值全都為空（null ）。

1、基于行的VPD

基于行的VPD 也叫作Fine-Grained Access Control ，簡稱 FGAC 。FGAC 通過定義規(guī)則實現(xiàn)，規(guī)則的集合叫做FGAC 政策（policy）。如果對某個表設(shè)置了 FGAC ，則當用戶對該表發(fā)出查詢或DML 語句時，Oracle 都會根據(jù)定義的 FGAC 政策，而自動改寫這些SQL 語句。其改寫方式為自動在SQL 語句后面添加where條件。

比如，我們在OE用戶下有1個表sales_list ，寄存了所有的銷售記錄。每一個銷售人員只能查詢他自己的銷售記錄。因而，我們在sales 表上設(shè)置FGAC 政策來實現(xiàn)這個業(yè)務(wù)需求。如果某個銷售人員（假定其登錄的用戶名為 S0020 ）發(fā)出下面的查詢語句：

Select * from sales_list ;

當Oracle 在履行該語句時，如果發(fā)現(xiàn) sales_list 表上存在FGAC 政策，因而就會根據(jù) FGAC 政策，依照以下方式改寫該SQL 語句：

Select * from sales_list where seller_id='S0020';

對用戶來講，這個添加 where條件的進程是完全透明的，用戶其實不知道 Oracle 已改寫了他發(fā)出的SQL 語句，從而過濾了查詢結(jié)果。固然，如果該銷售人員發(fā)出的語句為：

Select * from sales_list where values>1000 ;

那末，當Oracle 在改寫該 SQL 語句時，則會改寫為以下情勢：

Select * from sales_list where qty_sold>1000 and seller_id='S0020';

使用FGAC 政策來限定返回記錄的方式具有許多優(yōu)點。比如，不需要改寫利用程序、對用戶完全透明、集中設(shè)置、便于管理等。

在使用FGAC 時，會觸及利用程序上下文（Application Context）的概念，使用利用程序上下文可以簡化FGAC 的實現(xiàn)。利用程序上下文是1個數(shù)據(jù)庫對象，可以把它理解為數(shù)據(jù)庫里的每一個 session 的全局環(huán)境變量。1旦用戶登錄到數(shù)據(jù)庫，從而創(chuàng)建出session 以后，利用程序上下文就在全部 session 的生命周期里可用。在利用程序上下文里可以定義多個屬性，并為這些屬性設(shè)置具體的值。而用戶不能直接修改屬性的值，只能通進程序包來修改屬性值。利用程序上下文總是由用戶sys 具有。

比如，對前面 sales_list 表的例子來講。我們可以創(chuàng)建1個利用程序上下文，當用戶登錄時，將該用戶的ID 號作為1個屬性值放入該利用程序上下文中。然后在定義FGAC 政策的時候，將該用戶 ID號取出，并作為限定條件短語（也就是where條件語句）返回給 Oracle，從而實現(xiàn)FGAC 。

在Oracle 數(shù)據(jù)庫里，已為每一個 session 都預(yù)先建立了1個利用程序上下文：userenv。1旦建立了session ，該 session 就能夠使用這個利用程序上下文。在 userenv中已預(yù)先定義了1些屬性，比如 ip_address、session_user和db_name 等。在獲得利用程序上下文里的屬性值時，我們使用sys_context 函數(shù)。該函數(shù)包括兩個參數(shù)，第1個參數(shù)表示利用程序上下文的名稱，第2個參數(shù)表示要顯示的屬性名稱。以下所示：

SQL> select sys_context('userenv','ip_address') "IP",
sys_context('userenv','db_name') "DB" from dual;
IP DB
--------------- ---------
152.68.32.60 ora10g

我們也能夠創(chuàng)建自己的利用程序上下文，以下所示：

SQL> create or replace context sales_ctx using oe.sales_app_pkg;

在這里，sales_ctx 是利用程序上下文的名稱，而 sales_app_pkg 則是用來設(shè)置sales_ctx 里屬性的程序包。在創(chuàng)建利用程序上下文時，指定的、用來設(shè)置其中屬性的程序包可以沒必要事前存在。但是在為利用程序上下文里設(shè)定屬性值時，該程序包必須存在，否則報錯。如果要刪除利用程序上下文，則使用下面的命令：

SQL> drop context sales _ctx;

創(chuàng)建了利用程序上下文以后，我們就能夠在其中設(shè)置屬性了。在設(shè)置具體的利用程序上下文屬性時，必須使用Oracle 提供的程序包 dbms_session.set_context 來設(shè)置其屬性。其使用格式為：

dbms_session.set_context ('context_name', 'attribute_name', 'attribute_value')

我們只能在程序包里使用dbms_session.set_context，而不能直接在SQL*Plus里調(diào)用。以下所示：

SQL> show user
USER is "SYS"
SQL> exec dbms_session.set_context('sales_ctx','seller_id','S0020');
BEGIN dbms_session.set_context('sales_ctx','seller_id','S0020'); END;
*
ERROR at line 1:
ORA-01031: insufficient privileges
ORA-06512: at "SYS.DBMS_SESSION", line 90
ORA-06512: at line 1

我們創(chuàng)建oe.sales_app_pkg包，以下所示：

SQL> connect oe/oe
SQL> create or replace package sales_app_pkg is
2 procedure set_sales_context;
3 end;
4 /
SQL> create or replace package body sales_app_pkg is
2 procedure set_sales_context is
3 begin
4 dbms_session.set_context('sales_ctx','seller_id',user);
5 end;
6 end;
7 /
SQL> grant select on sales_list to public;
SQL> grant update on sales_list to public;
SQL> grant execute on sales_app_pkg to public;

把履行oe.sales_app_pkg 程序包的權(quán)限賦給所有用戶以后，我們可以測試利用程序上下文是不是生效了。

SQL> connect hr/hr
SQL> exec oe.sales_app_pkg.set_sales_context;
SQL> select sys_context('sales_ctx','seller_id') from dual;
SYS_CONTEXT('SALES_CTX','SELLER_ID')
--------------------------------------------------------------------------------
HR

可以看到，利用程序上下文生效了。接下來，我們創(chuàng)建用于FGAC 規(guī)則的函數(shù)。

SQL> create or replace package sales_app_pkg is
2 procedure set_sales_context;
3 function where_condition
4 (p_schema_name varchar2,p_tab_name varchar2)
5 return varchar2;
6 end;
7 /
SQL> create or replace package body sales_app_pkg is
2 procedure set_sales_context is
3 v_user varchar2(30);
4 begin
5 dbms_session.set_context('sales_ctx','seller_id',user);
6 end;
7
8 function where_condition
9 (p_schema_name varchar2,p_tab_name varchar2) return varchar2 is
10 v_seller_id varchar2(100) := upper(sys_context('sales_ctx','seller_id'));
11 v_where_condition varchar2(2000);
12 begin
13 if v_seller_id like 'S%' then
14 v_where_condition := 'seller_id = ' || '''' || v_seller_id || '''';
15 else
16 v_where_condition := null;
17 end if;

生活不易，碼農(nóng)辛苦
如果您覺得本網(wǎng)站對您的學(xué)習(xí)有所幫助,可以手機掃描二維碼進行捐贈
程序員人生

------分隔線----------------------------

上一篇 Java與算法之(9) - 直接插入排序

下一篇 spring boot 學(xué)習(xí)--08---搭建ssmm-01

分享到:

------分隔線----------------------------

為碼而活

積分：4237

15粉絲

7關(guān)注

欄目熱點

多多色-多人伦交性欧美在线观看-多人伦精品一区二区三区视频-多色视频-免费黄色视屏网站-免费黄色在线

[精]Oracle VPD詳解(虛擬專用數(shù)據(jù)庫)

1、基于行的VPD