您当前位置：首页 > 数据库 > 数据库应用 > [精]Oracle VPD详解(虚拟专用数据库)

[精]Oracle VPD详解(虚拟专用数据库)

来源：程序员人生发布时间：2016-11-11 08:15:21 阅读次数：5896次

所谓虚拟专用数据库（VPD）指的是，通过在数据库里进行配置，从而让不同的用户只能查看某个表里的部份数据。VPD分为以下两个级别。

行级别：在该级别下，可以控制某些用户只能查看到某些数据行。比如，对销售数据表sales 来讲，每一个销售人员只能检索出他自己的销售数据，不能查询其他销售人员的销售数据。

列级别：在该级别下，可以控制某些用户不能检索某个表的某个列的值。比如用户HR 下的 employees 表中，含有工资（salary）列，由于该列比较敏感，因此不让其他用户查询该列的值。其他用户检索该列时，会发现其值全都为空（null ）。

1、基于行的VPD

基于行的VPD 也叫作Fine-Grained Access Control ，简称 FGAC 。FGAC 通过定义规则实现，规则的集合叫做FGAC 政策（policy）。如果对某个表设置了 FGAC ，则当用户对该表发出查询或DML 语句时，Oracle 都会根据定义的 FGAC 政策，而自动改写这些SQL 语句。其改写方式为自动在SQL 语句后面添加where条件。

比如，我们在OE用户下有1个表sales_list ，寄存了所有的销售记录。每一个销售人员只能查询他自己的销售记录。因而，我们在sales 表上设置FGAC 政策来实现这个业务需求。如果某个销售人员（假定其登录的用户名为 S0020 ）发出下面的查询语句：

Select * from sales_list ;

当Oracle 在履行该语句时，如果发现 sales_list 表上存在FGAC 政策，因而就会根据 FGAC 政策，依照以下方式改写该SQL 语句：

Select * from sales_list where seller_id='S0020';

对用户来讲，这个添加 where条件的进程是完全透明的，用户其实不知道 Oracle 已改写了他发出的SQL 语句，从而过滤了查询结果。固然，如果该销售人员发出的语句为：

Select * from sales_list where values>1000 ;

那末，当Oracle 在改写该 SQL 语句时，则会改写为以下情势：

Select * from sales_list where qty_sold>1000 and seller_id='S0020';

使用FGAC 政策来限定返回记录的方式具有许多优点。比如，不需要改写利用程序、对用户完全透明、集中设置、便于管理等。

在使用FGAC 时，会触及利用程序上下文（Application Context）的概念，使用利用程序上下文可以简化FGAC 的实现。利用程序上下文是1个数据库对象，可以把它理解为数据库里的每一个 session 的全局环境变量。1旦用户登录到数据库，从而创建出session 以后，利用程序上下文就在全部 session 的生命周期里可用。在利用程序上下文里可以定义多个属性，并为这些属性设置具体的值。而用户不能直接修改属性的值，只能通进程序包来修改属性值。利用程序上下文总是由用户sys 具有。

比如，对前面 sales_list 表的例子来讲。我们可以创建1个利用程序上下文，当用户登录时，将该用户的ID 号作为1个属性值放入该利用程序上下文中。然后在定义FGAC 政策的时候，将该用户 ID号取出，并作为限定条件短语（也就是where条件语句）返回给 Oracle，从而实现FGAC 。

在Oracle 数据库里，已为每一个 session 都预先建立了1个利用程序上下文：userenv。1旦建立了session ，该 session 就能够使用这个利用程序上下文。在 userenv中已预先定义了1些属性，比如 ip_address、session_user和db_name 等。在获得利用程序上下文里的属性值时，我们使用sys_context 函数。该函数包括两个参数，第1个参数表示利用程序上下文的名称，第2个参数表示要显示的属性名称。以下所示：

SQL> select sys_context('userenv','ip_address') "IP",
sys_context('userenv','db_name') "DB" from dual;
IP DB
--------------- ---------
152.68.32.60 ora10g

我们也能够创建自己的利用程序上下文，以下所示：

SQL> create or replace context sales_ctx using oe.sales_app_pkg;

在这里，sales_ctx 是利用程序上下文的名称，而 sales_app_pkg 则是用来设置sales_ctx 里属性的程序包。在创建利用程序上下文时，指定的、用来设置其中属性的程序包可以没必要事前存在。但是在为利用程序上下文里设定属性值时，该程序包必须存在，否则报错。如果要删除利用程序上下文，则使用下面的命令：

SQL> drop context sales _ctx;

创建了利用程序上下文以后，我们就能够在其中设置属性了。在设置具体的利用程序上下文属性时，必须使用Oracle 提供的程序包 dbms_session.set_context 来设置其属性。其使用格式为：

dbms_session.set_context ('context_name', 'attribute_name', 'attribute_value')

我们只能在程序包里使用dbms_session.set_context，而不能直接在SQL*Plus里调用。以下所示：

SQL> show user
USER is "SYS"
SQL> exec dbms_session.set_context('sales_ctx','seller_id','S0020');
BEGIN dbms_session.set_context('sales_ctx','seller_id','S0020'); END;
*
ERROR at line 1:
ORA-01031: insufficient privileges
ORA-06512: at "SYS.DBMS_SESSION", line 90
ORA-06512: at line 1

我们创建oe.sales_app_pkg包，以下所示：

SQL> connect oe/oe
SQL> create or replace package sales_app_pkg is
2 procedure set_sales_context;
3 end;
4 /
SQL> create or replace package body sales_app_pkg is
2 procedure set_sales_context is
3 begin
4 dbms_session.set_context('sales_ctx','seller_id',user);
5 end;
6 end;
7 /
SQL> grant select on sales_list to public;
SQL> grant update on sales_list to public;
SQL> grant execute on sales_app_pkg to public;

把履行oe.sales_app_pkg 程序包的权限赋给所有用户以后，我们可以测试利用程序上下文是不是生效了。

SQL> connect hr/hr
SQL> exec oe.sales_app_pkg.set_sales_context;
SQL> select sys_context('sales_ctx','seller_id') from dual;
SYS_CONTEXT('SALES_CTX','SELLER_ID')
--------------------------------------------------------------------------------
HR

可以看到，利用程序上下文生效了。接下来，我们创建用于FGAC 规则的函数。

SQL> create or replace package sales_app_pkg is
2 procedure set_sales_context;
3 function where_condition
4 (p_schema_name varchar2,p_tab_name varchar2)
5 return varchar2;
6 end;
7 /
SQL> create or replace package body sales_app_pkg is
2 procedure set_sales_context is
3 v_user varchar2(30);
4 begin
5 dbms_session.set_context('sales_ctx','seller_id',user);
6 end;
7
8 function where_condition
9 (p_schema_name varchar2,p_tab_name varchar2) return varchar2 is
10 v_seller_id varchar2(100) := upper(sys_context('sales_ctx','seller_id'));
11 v_where_condition varchar2(2000);
12 begin
13 if v_seller_id like 'S%' then
14 v_where_condition := 'seller_id = ' || '''' || v_seller_id || '''';
15 else
16 v_where_condition := null;
17 end if;

生活不易，码农辛苦
如果您觉得本网站对您的学习有所帮助,可以手机扫描二维码进行捐赠
程序员人生

------分隔线----------------------------

上一篇 Java与算法之(9) - 直接插入排序

下一篇 spring boot 学习--08---搭建ssmm-01

分享到:

------分隔线----------------------------

为码而活

积分：4237

15粉丝

7关注

栏目热点