Oracle细粒度访问控制具有十分强大的功能

Oracle细粒度访问控制通俗的将就是虚拟专用香瓜的数据库 (VPD) ，它的主要的功能是提供十分强大的行级安全。Oracle细粒度访问控制是在 Oracle8i 中推出的，已经受到广泛的欢迎，并且在从教育软件到金融服务等各种应用程序得到采用。

10年积累的成都网站建设、成都做网站经验，可以快速应对客户对网站的新想法和需求。提供各种问题对应的解决方案。让选择我们的客户得到更好、更有力的网络服务。我虽然不认识你，你也不认识我。但先建设网站后付款的网站建设流程，更有富阳免费网站建设让你可以放心的选择与我们合作。

VPD 的工作方法是，通过透明地更改对数据的请求，基于一系列定义的标准向用户提供表的局部视图。在运行时，所有查询都附加了谓词，以便筛选出准许用户看到的行。例如，如果只允许用户查看帐户管理员 SCOTT 的帐户，则 VPD 设置自动地将查询：

 
 
 
      
  
  
  1. select * from accounts;  
    2.

重写为：

 
 
 
      
  
  
  1. select * from accounts  
    2.   
  
  
  2. where am_name = 'SCOTT'; 　 
    3.

DBA 在表 ACCOUNTS 上设置了一项安全策略。该策略具有一个相关函数，称为policy function，它返回一个用作谓词的字符串 where am_name = 'SCOTT'。如果您不熟悉该特性的全部功能，我建议您阅读 Oracle 杂志的文章“利用 VPD 保持信息的私密性”。

生成谓词所需的重复分析是一种在某些情况下可以进行修整的开销。例如，在大部分实际情况中，谓词并不象 am_name = 'SCOTT' 那样是静态的；它基于用户的身份、用户的权限级别、用户向哪个帐户管理员进行报告等情况,可能更具有动态性。

由策略函数创建并返回的字符串可能会具有很强的动态性，而为了保证其结果，Oracle 必须每次重新执行策略函数，既浪费资源又降低性能。在这种类型的策略中，谓词每次执行时可能会有很大的差别，该策略称为“动态”策略，在 Oracle9i 数据库以及以前的版本中已经提供了这种策略。

除了保留动态策略之外，Oracle 数据库 10g 还基于谓词的构造推出了几种新类型的策略，为提高性能提供了更好的Oracle细粒度访问控制：context_sensitive、shared_context_sensitive、shared_static 和 static。现在，让我们来了解每种策略类型的意义以及如何在适当的场合中使用它们。

动态策略。 为保持向后兼容性，10g 中的默认策略类型为“dynamic” — 正如 Oracle9i 中一样。在这种情况下，对于每行以及每位用户，在每次Oracle细粒度访问表时都对策略函数进行重新求值。让我们来详细分析策略谓词：

 
 
 
      
  
  
  1. where am_name = 'SCOTT'  
    2.

忽略掉 where 子句，谓词就具有两个不同的部分：在等式操作符之前的部分 (am_name) 和等式操作符之后的部分 ('SCOTT')。在大多数情况下，后面的部分更象是变量，因为它是由用户的数据提供的（如果用户是 SCOTT，则其值为 'SCOTT'）。

在等号前面的部分是静态的。因此，即使函数不必为生成适当的谓词而对每行求出策略函数的值，由于了解前面部分的静态性以及后面部分的动态性，也可以提高性能。在 10g 中，可以在 dbms_rls.add_policy 调用中使用 "context_sensitive" 类型的策略作为参数来实现这种方法：

 
 
 
      
  
  
  1. policy_type => dbms_rls.context_sensitive  
    2.

在另一个示例中，我们有一个称为 ACCOUNTS 的表，它拥有几列，其中一列是 BALANCE，表示帐户余额。假设允许某个用户查看低于某特定余额的帐户，而该余额由应用程序上下文所决定。我们并不在策略函数中将此余额值固定，而是3是根据应用程序上下文确定，如：

 
 
 
      
  
  
  1. create or replace vpd_pol_func  
    2.   
  
  
  2. (  
    3.   
  
  
  3. p_schema in varchar2,  
    4.   
  
  
  4. p_table in varchar2  
    5.   
  
  
  5. )   
    6.   
  
  
  6. return varchar2  
    7.   
  
  
  7. is  
    8.   
  
  
  8. begin  
    9.   
  
  
  9. return 'balance < sys_context(''vpdctx'', ''maxbal'')';   
    10.   
  
  
  10. end;  
    11.

应用程序上下文 VPDCTX 的属性 MAXBAL 可以在会话的前期设定，而函数在运行时可以容易地获得该数值。

请仔细注意该示例。谓词有两部分：小于号之前的部分和之后的部分。之前的部分是“balance”一词，它是文字符。后面的部分从某种程度而言是静态的，因为应用程序上下文变量在改变之前一直是常量。

如果应用程序上下文属性不变，则整个谓词是常量，因此不需要重新执行函数。如果策略类型定义为对上下文敏感，则 Oracle 数据库 10g 可以识别此情况以用于优化。如果在会话期间没有发生会话上下文的变化，则不重新执行该函数，从而显著提高了性能。

静态策略。 有时业务操作可以确保谓词更加静态。例如，在上下文敏感的策略类型示例中，我们将用户所见的***余额定义为一个变量。当 web 应用程序中的 Oracle userid 由许多 web 用户共享，并且应用程序基于这些用户的权限来设置该变量（应用程序上下文）时，这种方法很有用。

因此，web 用户 TAO 和 KARTHIK 都是以用户 APPUSER 连接到数据库的，二者可以在其会话中拥有两个不同的应用程序上下文的值。此时 MAXBAL 的值并不依赖于 Oracle userid，而是依赖 TAO 和 KARTHIK 各自的会话。

在静态策略的情况下，谓词更具有可预测性，其说明如下。

LORA 和 MICHELLE 分别是 Acme Bearings 和 Goldtone Bearings 的帐户管理员。当他们连接数据库时，他们使用自己的 id，并且只应该看到属于他们的那些行。在 Lora 方面，谓词变成 where CUST_NAME = 'ACME'；

而对于 Michelle，则是 where CUST_NAME = 'GOLDTONE'。在这里，谓词依赖于他们的 userid，因此他们所创建的任何会话在应用程序上下文中始终具有相同的值。

10g 可以利用这种情况，在 SGA 中对谓词进行高速缓存，并在会话中重用该谓词，而不必重新执行策略函数。策略函数类似于以下形式：

 
 
 
      
  
  
  1. create or replace vpd_pol_func  
    2.   
  
  
  2. (  
    3.   
  
  
  3. p_schema in varchar2,  
    4.   
  
  
  4. p_table in varchar2  
    5.   
  
  
  5. )   
    6.   
  
  
  6. return varchar2  
    7.   
  
  
  7. is  
    8.   
  
  
  8. begin  
    9.   
  
  
  9. return 'cust_name = sys_context(''vpdctx'', ''cust_name'')';   
    10.   
  
  
  10. end;  
    11.

而策略定义为：　

 
 
 
      
  
  
  1. policy_type => dbms_rls.static 
    2.

这种方法确保策略函数只执行一次。即使应用程序上下文在会话中改变，也从不重新执行该函数，使得此过程的速度非常快。

建议将静态策略用于在几个用户中托管应用程序的情况。在这种情况下，单个数据库拥有几个用户的数据。当每个用户登录时，登录后触发器可以设置用于策略函数的应用程序上下文的值，以便快速生成谓词。

但是，将策略定义为静态也是一把双刃剑。在以上的示例中，我们假设应用程序上下文属性 VPDCTX.CUST_NAME 的值在会话中不改变。如果这种假设不正确，将会怎样呢？如果该值改变，策略函数将不会执行，因此在谓词中将不会使用新值，而返回错误的结果！因此，在将策略定义为静态时要非常小心；您必须绝对确信该值不会改变。如果您不能作这种假设，则***将策略定义为对上下文敏感。

共享策略类型。 为了重用代码并***限度地利用已经分析过的代码，您可以决定为几个表使用通用的策略函数。例如，在上述示例中，我们可能对于不同类型的帐户拥有不同的表 — SAVINGS 和 CHECKING — 但是规则仍然是相同的：限制用户查看余额超过其授权范围的帐户。这种情况要求为 CHECKING 和 SAVINGS 表上的策略使用统一的函数。该策略创建为 context_sensitive。

假设事件按如下顺序发生：

1. 连接会话

2. 设置应用程序上下文

3. select * from savings;

4. select * from checking;

即使应用程序上下文在第 3 步与第 4 步之间没有改变，策略函数也会重新执行，因为现在所选择的表已经不同。这不是我们所希望的情况，因为策略函数相同，不需要重新执行该Oracle细粒度函数。

10g 中的新功能是能够在对象间共享策略。在上述示例中，您可以将这些策略的策略类型定义为：

 
 
 
      
  
  
  1. policy_type => dbms_rls.shared_context_sensitive 
    2.

将策略声明为 "shared" 可以在以上所示的情况中不再执行该函数，从而提高了性能。

文章出自:http://database.csdn.net/c_oracle/tag/2

【编辑推荐】

  1. Oracle存储结构之Oracle物理存储结构
  2. Oracle数据语言的4大类
  3. Oracle数据库的系统中6个经验原则
  4. Oracle 8i中字符集乱码问题详细解析
  5. 存储结构之Oracle逻辑存储结构

新闻名称：Oracle细粒度访问控制具有十分强大的功能
分享路径：http://www.36103.cn/qtweb/news15/13265.html

网站建设、网络推广公司-创新互联，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 创新互联

猜你还喜欢下面的内容

营销型网站建设知识

行业网站建设

达州主机托管　　 　商城网站　　 　资阳网站建设　　 　小谭建站　　 　响应式网站　　 　高端网站设计　　 　成都网站维护公司　　 　商城系统开发　　 　成都微信开发　　 　成都网站建设　　 　定制网站建设　　 　名片　　 　圣月阀门　　 　成都建站　　 　APP定制　　 　四川成都seo网站优化　　 　手机软件开发　　 　简阳网站建设　　 　贵安服务器托管　　 　盐亭网站设计