Oracle的dbms_rls实现数据访问控制
在大部份系统中,权限控制主要定义为模块进入权限的控制和数据列访问权限的控制(如:某某人可以进入某个控制,仓库不充许查看有关部门的字段等等)。
但在某些系统中,权限控制又必须定义到数据行访问权限的控制,此需求一般出现在同一系统,不同的相对独立机构使用的情况。(如:集团下属多个子公司,所有子公司使用同一套数据表,但不同子公司的数据相对隔离),绝大多数人会选择在View加上Where子句来进行数据隔离。此方法编码工作量大、系统适应用户管理体系的弹性空间较小,一旦权限逻辑发生变动,就可能需要修改权限体系,导致所有的View都必须修改。
本文讨论EnterpriseDB的VPD,和oracle的dbms_rls有同等功能。
DBML_RLS包在数据库表上实现了虚拟私有库VPD(Virtual Private Database)。
VPD是一种细粒度访问控制安全策略,其是带有入参并有返回值的PL函数。
使用VPD的优点:
a 细粒度安全
b 在增、删、查、改sql语句上提供不同的安全策略。
c 安全策略对不同session中的每一个sql语句可变。
d 安全策略对于应用程序是透明的,不必修改应用就可以应用安全策略。
e 一旦使能了安全策略,任何应用、包括新应用都不会绕过,甚至超级用户都不可能绕过,
除非EXEMPT ACCESS POLICY系统权限grant给了用户,这个用户将能绕过数据库里所有的策略。
DBMS_RLS包提供存储过程做创建、删除、使能、使不能策略。
实现VPD的过程如下:
a 创建一个策略函数。其有两个varchar2参数,并返回varchar2类型值,一个是schema名称,一个是数据库名称。
where子句里有条件语句以过滤掉部分记录
b 使用存储过程ADD_POLICY增加新策率,用这个存储过程还可以指明SQL命令的类型(增、删、查、改),是否在创建时使能,策略是否应用到新插入的行等。
c 使用存储过程ENABLE_POLICY使能或使不能已有策略。
d 使用存储过程DROP_POLICY删除现有策略。其不删除相关函数或者相关数据库对象。
创建的策略可以在兼容oracle的试图ALL_POLICIES、DBA_POLICIES、USER_POLICIES中查看。
例子:
基于PPAS带的例子中的emp。
CREATE TABLE public.vpemp AS SELECT empno, ename, job, sal, comm, deptno FROM emp;
ALTER TABLE vpemp ADD authid VARCHAR2(12);
UPDATE vpemp SET authid = 'researchmgr' WHERE deptno = 20;
UPDATE vpemp SET authid = 'salesmgr' WHERE deptno = 30;
SELECT * FROM vpemp;
empno | ename | job | sal | comm | deptno | authid
-------+--------+-----------+---------+---------+--------+-------------
7782 | CLARK | MANAGER | 2450.00 | | 10 |
7839 | KING | PRESIDENT | 5000.00 | | 10 |
7934 | MILLER | CLERK | 1300.00 | | 10 |
7369 | SMITH | CLERK | 800.00 | | 20 | researchmgr
7566 | JONES | MANAGER | 2975.00 | | 20 | researchmgr
7788 | SCOTT | ANALYST | 3000.00 | | 20 | researchmgr
7876 | ADAMS | CLERK | 1100.00 | | 20 | researchmgr
7902 | FORD | ANALYST | 3000.00 | | 20 | researchmgr
7499 | ALLEN | SALESMAN | 1600.00 | 300.00 | 30 | salesmgr
7521 | WARD | SALESMAN | 1250.00 | 500.00 | 30 | salesmgr
7654 | MARTIN | SALESMAN | 1250.00 | 1400.00 | 30 | salesmgr
7698 | BLAKE | MANAGER | 2850.00 | | 30 | salesmgr
7844 | TURNER | SALESMAN | 1500.00 | 0.00 | 30 | salesmgr
7900 | JAMES | CLERK | 950.00 | | 30 | salesmgr
(14 rows)
CREATE ROLE salesmgr WITH LOGIN PASSWORD 'salesmgr';
GRANT ALL ON vpemp TO salesmgr;
1
以superuser执行ADD_POLICY
ADD_POLICY(object_schema VARCHAR2, object_name VARCHAR2,
policy_name VARCHAR2, function_schema VARCHAR2,
policy_function VARCHAR2
[, statement_types VARCHAR2
[, update_check BOOLEAN
[, enable BOOLEAN
[, static_policy BOOLEAN
[, policy_type INTEGER
[, long_predicate BOOLEAN
[, sec_relevant_cols VARCHAR2
[, sec_relevant_cols_opt INTEGER ]]]]]]]])
object_schema:策略作用于的数据库对象做在的schema名字。
object_name:策略作用于数据库对象的名字。
policy_name:策略的名字
function_schema:包含策略函数的schema的名字。
policy_function:定义安全策略的函数名字
[, statement_types:SQL命令类型,默认是insert,update,delete,select,可以接受index但不起作用
[, update_check:进用于insert和update SQL命令,默认是false。如果根据策略函数谓词没有选定行,insert或update命令会抛异常,命令不影响任何行。
[, enable:策略使能,默认true
[, static_policy:true时,数据库服务器实例运行时评估一次,false时,策略谓词串在调用时被重新评估,默认false
ppas上都是false,忽略该参数设置。
[, policy_type:NULL, ppas上NULL,忽略该参数设置。
[, long_predicate:限制 谓词程度,ppas忽略该参数设置。
[, sec_relevant_cols:逗号分隔的object_name的列。对列出的列提供列级VPD。
默认是NULL,表示object_name的所有列都包含在该参数里。
[, sec_relevant_cols_opt:ppas不支持该参数,如果设置为oracle的DBMS_RLS.ALL_ROWS,ppas会抛一个异常。
例子1,行的例子
1)
CREATE OR REPLACE FUNCTION verify_session_user (
p_schema VARCHAR2,
p_object VARCHAR2
)
RETURN VARCHAR2
IS
BEGIN
RETURN 'authid = SYS_CONTEXT(''USERENV'', ''SESSION_USER'')';
END;
上面函数里的谓词authid = SYS_CONTEXT('USERENV', 'SESSION_USER')会追加到存储过程
ADD_POLICY里指明的sql命令的where子句里. 这限制sql命令作用到了表vpemp的列authid是相同值的行.
2)
创建策略:
下面的匿名块调用存储过程ADD_POLICY,创建名字为secure_update的策略,以当
函数verify_session_user无论何时以增、删、改命令作用于表vpemp时,使用该策略。
DECLARE
v_object_schema VARCHAR2(30) := 'public';
v_object_name VARCHAR2(30) := 'vpemp';
v_policy_name VARCHAR2(30) := 'secure_update';
v_function_schema VARCHAR2(30) := 'enterprisedb';
v_policy_function VARCHAR2(30) := 'verify_session_user';
v_statement_types VARCHAR2(30) := 'INSERT,UPDATE,DELETE';
v_update_check BOOLEAN := TRUE;
v_enable BOOLEAN := TRUE;
BEGIN
DBMS_RLS.ADD_POLICY(
v_object_schema,
v_object_name,
v_policy_name,
v_function_schema,
v_policy_function,
v_statement_types,
v_update_check,
v_enable
);
END;
--------------
DECLARE
BEGIN
exec dbms_rls.add_policy('public','vpemp','secure_update','enterprisedb','verify_session_user','insert,update,delete',TRUE,TRUE);
end;
--------------
3)
以用户salesmgr登录数据库,查询表vpemp:
edb=# \c edb salesmgr
edb=> SELECT * FROM vpemp;
empno | ename | job | sal | comm | deptno | authid
-------+--------+-----------+---------+---------+--------+-------------
7782 | CLARK | MANAGER | 2450.00 | | 10 |
7839 | KING | PRESIDENT | 5000.00 | | 10 |
7934 | MILLER | CLERK | 1300.00 | | 10 |
7369 | SMITH | CLERK | 800.00 | | 20 | researchmgr
7566 | JONES | MANAGER | 2975.00 | | 20 | researchmgr
7788 | SCOTT | ANALYST | 3000.00 | | 20 | researchmgr
7876 | ADAMS | CLERK | 1100.00 | | 20 | researchmgr
7902 | FORD | ANALYST | 3000.00 | | 20 | researchmgr
7499 | ALLEN | SALESMAN | 1600.00 | 300.00 | 30 | salesmgr
7521 | WARD | SALESMAN | 1250.00 | 500.00 | 30 | salesmgr
7654 | MARTIN | SALESMAN | 1250.00 | 1400.00 | 30 | salesmgr
7698 | BLAKE | MANAGER | 2850.00 | | 30 | salesmgr
7844 | TURNER | SALESMAN | 1500.00 | 0.00 | 30 | salesmgr
7900 | JAMES | CLERK | 950.00 | | 30 | salesmgr
(14 rows)
4)
更新,值更新了满足函数verify_session_user的谓词的行
edb=> UPDATE vpemp SET comm = sal * .75;
UPDATE 6
5)
验证
edb=> SELECT * FROM vpemp;
empno | ename | job | sal | comm | deptno | authid
-------+--------+-----------+---------+---------+--------+-------------
7782 | CLARK | MANAGER | 2450.00 | | 10 |
7839 | KING | PRESIDENT | 5000.00 | | 10 |
7934 | MILLER | CLERK | 1300.00 | | 10 |
7369 | SMITH | CLERK | 800.00 | | 20 | researchmgr
7566 | JONES | MANAGER | 2975.00 | | 20 | researchmgr
7788 | SCOTT | ANALYST | 3000.00 | | 20 | researchmgr
7876 | ADAMS | CLERK | 1100.00 | | 20 | researchmgr
7902 | FORD | ANALYST | 3000.00 | | 20 | researchmgr
7499 | ALLEN | SALESMAN | 1600.00 | 1200.00 | 30 | salesmgr
7521 | WARD | SALESMAN | 1250.00 | 937.50 | 30 | salesmgr
7654 | MARTIN | SALESMAN | 1250.00 | 937.50 | 30 | salesmgr
7698 | BLAKE | MANAGER | 2850.00 | 2137.50 | 30 | salesmgr
7844 | TURNER | SALESMAN | 1500.00 | 1125.00 | 30 | salesmgr
7900 | JAMES | CLERK | 950.00 | 712.50 | 30 | salesmgr
(14 rows)
6)
由于update_check参数在add_policy存储过程中设置为true,下面的insert命令会对
authid列不是salesmgr的行抛异常。
edb=> INSERT INTO vpemp VALUES (9001,'SMITH','ANALYST',3200.00,NULL,20, 'researchmgr');
ERROR: policy with check option violation
DETAIL: Policy predicate was evaluated to FALSE with the updated values
如果update_check设置为false,这个insert插入命令会成功。
例子2,列的例子
1)
设置参数sec_relevant_cols以应用策略到某些列,例如工资小于2000
CREATE OR REPLACE FUNCTION sal_lt_2000 (
p_schema VARCHAR2,
p_object VARCHAR2
)
RETURN VARCHAR2
IS
BEGIN
RETURN 'sal < 2000';
END;
2)
创建策略secure_salary使select命令在列sal,comm上时强制用该策略。
DECLARE
v_object_schema VARCHAR2(30) := 'public';
v_object_name VARCHAR2(30) := 'vpemp';
v_policy_name VARCHAR2(30) := 'secure_salary';
v_function_schema VARCHAR2(30) := 'enterprisedb';
v_policy_function VARCHAR2(30) := 'sal_lt_2000';
v_statement_types VARCHAR2(30) := 'SELECT';
v_sec_relevant_cols VARCHAR2(30) := 'sal,comm';
BEGIN
exec DBMS_RLS.ADD_POLICY(
v_object_schema,
v_object_name,
v_policy_name,
v_function_schema,
v_policy_function,
v_statement_types,
sec_relevant_cols => v_sec_relevant_cols
);
END;
3)
查询不涉及sal、comm列,所有行全返回
edb=# SELECT empno, ename, job, deptno, authid FROM vpemp;
empno | ename | job | deptno | authid
-------+--------+-----------+--------+-------------
7782 | CLARK | MANAGER | 10 |
7839 | KING | PRESIDENT | 10 |
7934 | MILLER | CLERK | 10 |
7369 | SMITH | CLERK | 20 | researchmgr
7566 | JONES | MANAGER | 20 | researchmgr
7788 | SCOTT | ANALYST | 20 | researchmgr
7876 | ADAMS | CLERK | 20 | researchmgr
7902 | FORD | ANALYST | 20 | researchmgr
7499 | ALLEN | SALESMAN | 30 | salesmgr
7521 | WARD | SALESMAN | 30 | salesmgr
7654 | MARTIN | SALESMAN | 30 | salesmgr
7698 | BLAKE | MANAGER | 30 | salesmgr
7844 | TURNER | SALESMAN | 30 | salesmgr
7900 | JAMES | CLERK | 30 | salesmgr
(14 rows)
4)
查询涉及策略的相关列,sal大于2000的被滤掉
edb=# SELECT empno, ename, job, sal, comm, deptno, authid FROM vpemp;
empno | ename | job | sal | comm | deptno | authid
-------+--------+----------+---------+---------+--------+-------------
7934 | MILLER | CLERK | 1300.00 | | 10 |
7369 | SMITH | CLERK | 800.00 | | 20 | researchmgr
7876 | ADAMS | CLERK | 1100.00 | | 20 | researchmgr
7499 | ALLEN | SALESMAN | 1600.00 | 1200.00 | 30 | salesmgr
7521 | WARD | SALESMAN | 1250.00 | 937.50 | 30 | salesmgr
7654 | MARTIN | SALESMAN | 1250.00 | 937.50 | 30 | salesmgr
7844 | TURNER | SALESMAN | 1500.00 | 1125.00 | 30 | salesmgr
7900 | JAMES | CLERK | 950.00 | 712.50 | 30 | salesmgr
(8 rows)
2
使能或使不能现有的策略在数据库对象上
以superuser用户运行
ENABLE_POLICY(object_schema VARCHAR2, object_name VARCHAR2,
policy_name VARCHAR2, enable BOOLEAN)
参数:
object_schema:策略应用到的数据库对象所在的schema名
object_name:策略应用到的数据库对象
policy_name:要删除的策略名
enable:true使能 ,false使不能。
例子1
使不能在public.vpemp上的策略secure_salary
The following example disables policy secure_update on table public.vpemp:
DECLARE
v_object_schema VARCHAR2(30) := 'public';
v_object_name VARCHAR2(30) := 'vpemp';
v_policy_name VARCHAR2(30) := 'secure_salary';
v_enable BOOLEAN := FALSE;
BEGIN
DBMS_RLS.ENABLE_POLICY(
v_object_schema,
v_object_name,
v_policy_name,
v_enable
);
END;
3
DROP_POLICY删除策略policy_name,但不删除相关object_schema和object_name.
以superuser运行
DROP_POLICY(object_schema VARCHAR2, object_name VARCHAR2,
policy_name VARCHAR2)
参数:
object_schema:策略应用到的数据库对象所在的schema名
object_name:策略应用到的数据库对象
policy_name:要删除的策略名
例子1:
删除应用到对象public.vpemp上的策略secure_update
DECLARE
v_object_schema VARCHAR2(30) := 'public';
v_object_name VARCHAR2(30) := 'vpemp';
v_policy_name VARCHAR2(30) := 'secure_salary';
BEGIN
DBMS_RLS.DROP_POLICY(
v_object_schema,
v_object_name,
v_policy_name
);
END;
在大部份系统中,权限控制主要定义为模块进入权限的控制和数据列访问权限的控制(如:某某人可以进入某个控制,仓库不充许查看有关部门的字段等等)。
但在某些系统中,权限控制又必须定义到数据行访问权限的控制,此需求一般出现在同一系统,不同的相对独立机构使用的情况。(如:集团下属多个子公司,所有子公司使用同一套数据表,但不同子公司的数据相对隔离),绝大多数人会选择在View加上Where子句来进行数据隔离。此方法编码工作量大、系统适应用户管理体系的弹性空间较小,一旦权限逻辑发生变动,就可能需要修改权限体系,导致所有的View都必须修改。
本文讨论EnterpriseDB的VPD,和oracle的dbms_rls有同等功能。
DBML_RLS包在数据库表上实现了虚拟私有库VPD(Virtual Private Database)。
VPD是一种细粒度访问控制安全策略,其是带有入参并有返回值的PL函数。
使用VPD的优点:
a 细粒度安全
b 在增、删、查、改sql语句上提供不同的安全策略。
c 安全策略对不同session中的每一个sql语句可变。
d 安全策略对于应用程序是透明的,不必修改应用就可以应用安全策略。
e 一旦使能了安全策略,任何应用、包括新应用都不会绕过,甚至超级用户都不可能绕过,
除非EXEMPT ACCESS POLICY系统权限grant给了用户,这个用户将能绕过数据库里所有的策略。
DBMS_RLS包提供存储过程做创建、删除、使能、使不能策略。
实现VPD的过程如下:
a 创建一个策略函数。其有两个varchar2参数,并返回varchar2类型值,一个是schema名称,一个是数据库名称。
where子句里有条件语句以过滤掉部分记录
b 使用存储过程ADD_POLICY增加新策率,用这个存储过程还可以指明SQL命令的类型(增、删、查、改),是否在创建时使能,策略是否应用到新插入的行等。
c 使用存储过程ENABLE_POLICY使能或使不能已有策略。
d 使用存储过程DROP_POLICY删除现有策略。其不删除相关函数或者相关数据库对象。
创建的策略可以在兼容oracle的试图ALL_POLICIES、DBA_POLICIES、USER_POLICIES中查看。
例子:
基于PPAS带的例子中的emp。
CREATE TABLE public.vpemp AS SELECT empno, ename, job, sal, comm, deptno FROM emp;
ALTER TABLE vpemp ADD authid VARCHAR2(12);
UPDATE vpemp SET authid = 'researchmgr' WHERE deptno = 20;
UPDATE vpemp SET authid = 'salesmgr' WHERE deptno = 30;
SELECT * FROM vpemp;
empno | ename | job | sal | comm | deptno | authid
-------+--------+-----------+---------+---------+--------+-------------
7782 | CLARK | MANAGER | 2450.00 | | 10 |
7839 | KING | PRESIDENT | 5000.00 | | 10 |
7934 | MILLER | CLERK | 1300.00 | | 10 |
7369 | SMITH | CLERK | 800.00 | | 20 | researchmgr
7566 | JONES | MANAGER | 2975.00 | | 20 | researchmgr
7788 | SCOTT | ANALYST | 3000.00 | | 20 | researchmgr
7876 | ADAMS | CLERK | 1100.00 | | 20 | researchmgr
7902 | FORD | ANALYST | 3000.00 | | 20 | researchmgr
7499 | ALLEN | SALESMAN | 1600.00 | 300.00 | 30 | salesmgr
7521 | WARD | SALESMAN | 1250.00 | 500.00 | 30 | salesmgr
7654 | MARTIN | SALESMAN | 1250.00 | 1400.00 | 30 | salesmgr
7698 | BLAKE | MANAGER | 2850.00 | | 30 | salesmgr
7844 | TURNER | SALESMAN | 1500.00 | 0.00 | 30 | salesmgr
7900 | JAMES | CLERK | 950.00 | | 30 | salesmgr
(14 rows)
CREATE ROLE salesmgr WITH LOGIN PASSWORD 'salesmgr';
GRANT ALL ON vpemp TO salesmgr;
1
以superuser执行ADD_POLICY
ADD_POLICY(object_schema VARCHAR2, object_name VARCHAR2,
policy_name VARCHAR2, function_schema VARCHAR2,
policy_function VARCHAR2
[, statement_types VARCHAR2
[, update_check BOOLEAN
[, enable BOOLEAN
[, static_policy BOOLEAN
[, policy_type INTEGER
[, long_predicate BOOLEAN
[, sec_relevant_cols VARCHAR2
[, sec_relevant_cols_opt INTEGER ]]]]]]]])
object_schema:策略作用于的数据库对象做在的schema名字。
object_name:策略作用于数据库对象的名字。
policy_name:策略的名字
function_schema:包含策略函数的schema的名字。
policy_function:定义安全策略的函数名字
[, statement_types:SQL命令类型,默认是insert,update,delete,select,可以接受index但不起作用
[, update_check:进用于insert和update SQL命令,默认是false。如果根据策略函数谓词没有选定行,insert或update命令会抛异常,命令不影响任何行。
[, enable:策略使能,默认true
[, static_policy:true时,数据库服务器实例运行时评估一次,false时,策略谓词串在调用时被重新评估,默认false
ppas上都是false,忽略该参数设置。
[, policy_type:NULL, ppas上NULL,忽略该参数设置。
[, long_predicate:限制 谓词程度,ppas忽略该参数设置。
[, sec_relevant_cols:逗号分隔的object_name的列。对列出的列提供列级VPD。
默认是NULL,表示object_name的所有列都包含在该参数里。
[, sec_relevant_cols_opt:ppas不支持该参数,如果设置为oracle的DBMS_RLS.ALL_ROWS,ppas会抛一个异常。
例子1,行的例子
1)
CREATE OR REPLACE FUNCTION verify_session_user (
p_schema VARCHAR2,
p_object VARCHAR2
)
RETURN VARCHAR2
IS
BEGIN
RETURN 'authid = SYS_CONTEXT(''USERENV'', ''SESSION_USER'')';
END;
上面函数里的谓词authid = SYS_CONTEXT('USERENV', 'SESSION_USER')会追加到存储过程
ADD_POLICY里指明的sql命令的where子句里. 这限制sql命令作用到了表vpemp的列authid是相同值的行.
2)
创建策略:
下面的匿名块调用存储过程ADD_POLICY,创建名字为secure_update的策略,以当
函数verify_session_user无论何时以增、删、改命令作用于表vpemp时,使用该策略。
DECLARE
v_object_schema VARCHAR2(30) := 'public';
v_object_name VARCHAR2(30) := 'vpemp';
v_policy_name VARCHAR2(30) := 'secure_update';
v_function_schema VARCHAR2(30) := 'enterprisedb';
v_policy_function VARCHAR2(30) := 'verify_session_user';
v_statement_types VARCHAR2(30) := 'INSERT,UPDATE,DELETE';
v_update_check BOOLEAN := TRUE;
v_enable BOOLEAN := TRUE;
BEGIN
DBMS_RLS.ADD_POLICY(
v_object_schema,
v_object_name,
v_policy_name,
v_function_schema,
v_policy_function,
v_statement_types,
v_update_check,
v_enable
);
END;
--------------
DECLARE
BEGIN
exec dbms_rls.add_policy('public','vpemp','secure_update','enterprisedb','verify_session_user','insert,update,delete',TRUE,TRUE);
end;
--------------
3)
以用户salesmgr登录数据库,查询表vpemp:
edb=# \c edb salesmgr
edb=> SELECT * FROM vpemp;
empno | ename | job | sal | comm | deptno | authid
-------+--------+-----------+---------+---------+--------+-------------
7782 | CLARK | MANAGER | 2450.00 | | 10 |
7839 | KING | PRESIDENT | 5000.00 | | 10 |
7934 | MILLER | CLERK | 1300.00 | | 10 |
7369 | SMITH | CLERK | 800.00 | | 20 | researchmgr
7566 | JONES | MANAGER | 2975.00 | | 20 | researchmgr
7788 | SCOTT | ANALYST | 3000.00 | | 20 | researchmgr
7876 | ADAMS | CLERK | 1100.00 | | 20 | researchmgr
7902 | FORD | ANALYST | 3000.00 | | 20 | researchmgr
7499 | ALLEN | SALESMAN | 1600.00 | 300.00 | 30 | salesmgr
7521 | WARD | SALESMAN | 1250.00 | 500.00 | 30 | salesmgr
7654 | MARTIN | SALESMAN | 1250.00 | 1400.00 | 30 | salesmgr
7698 | BLAKE | MANAGER | 2850.00 | | 30 | salesmgr
7844 | TURNER | SALESMAN | 1500.00 | 0.00 | 30 | salesmgr
7900 | JAMES | CLERK | 950.00 | | 30 | salesmgr
(14 rows)
4)
更新,值更新了满足函数verify_session_user的谓词的行
edb=> UPDATE vpemp SET comm = sal * .75;
UPDATE 6
5)
验证
edb=> SELECT * FROM vpemp;
empno | ename | job | sal | comm | deptno | authid
-------+--------+-----------+---------+---------+--------+-------------
7782 | CLARK | MANAGER | 2450.00 | | 10 |
7839 | KING | PRESIDENT | 5000.00 | | 10 |
7934 | MILLER | CLERK | 1300.00 | | 10 |
7369 | SMITH | CLERK | 800.00 | | 20 | researchmgr
7566 | JONES | MANAGER | 2975.00 | | 20 | researchmgr
7788 | SCOTT | ANALYST | 3000.00 | | 20 | researchmgr
7876 | ADAMS | CLERK | 1100.00 | | 20 | researchmgr
7902 | FORD | ANALYST | 3000.00 | | 20 | researchmgr
7499 | ALLEN | SALESMAN | 1600.00 | 1200.00 | 30 | salesmgr
7521 | WARD | SALESMAN | 1250.00 | 937.50 | 30 | salesmgr
7654 | MARTIN | SALESMAN | 1250.00 | 937.50 | 30 | salesmgr
7698 | BLAKE | MANAGER | 2850.00 | 2137.50 | 30 | salesmgr
7844 | TURNER | SALESMAN | 1500.00 | 1125.00 | 30 | salesmgr
7900 | JAMES | CLERK | 950.00 | 712.50 | 30 | salesmgr
(14 rows)
6)
由于update_check参数在add_policy存储过程中设置为true,下面的insert命令会对
authid列不是salesmgr的行抛异常。
edb=> INSERT INTO vpemp VALUES (9001,'SMITH','ANALYST',3200.00,NULL,20, 'researchmgr');
ERROR: policy with check option violation
DETAIL: Policy predicate was evaluated to FALSE with the updated values
如果update_check设置为false,这个insert插入命令会成功。
例子2,列的例子
1)
设置参数sec_relevant_cols以应用策略到某些列,例如工资小于2000
CREATE OR REPLACE FUNCTION sal_lt_2000 (
p_schema VARCHAR2,
p_object VARCHAR2
)
RETURN VARCHAR2
IS
BEGIN
RETURN 'sal < 2000';
END;
2)
创建策略secure_salary使select命令在列sal,comm上时强制用该策略。
DECLARE
v_object_schema VARCHAR2(30) := 'public';
v_object_name VARCHAR2(30) := 'vpemp';
v_policy_name VARCHAR2(30) := 'secure_salary';
v_function_schema VARCHAR2(30) := 'enterprisedb';
v_policy_function VARCHAR2(30) := 'sal_lt_2000';
v_statement_types VARCHAR2(30) := 'SELECT';
v_sec_relevant_cols VARCHAR2(30) := 'sal,comm';
BEGIN
exec DBMS_RLS.ADD_POLICY(
v_object_schema,
v_object_name,
v_policy_name,
v_function_schema,
v_policy_function,
v_statement_types,
sec_relevant_cols => v_sec_relevant_cols
);
END;
3)
查询不涉及sal、comm列,所有行全返回
edb=# SELECT empno, ename, job, deptno, authid FROM vpemp;
empno | ename | job | deptno | authid
-------+--------+-----------+--------+-------------
7782 | CLARK | MANAGER | 10 |
7839 | KING | PRESIDENT | 10 |
7934 | MILLER | CLERK | 10 |
7369 | SMITH | CLERK | 20 | researchmgr
7566 | JONES | MANAGER | 20 | researchmgr
7788 | SCOTT | ANALYST | 20 | researchmgr
7876 | ADAMS | CLERK | 20 | researchmgr
7902 | FORD | ANALYST | 20 | researchmgr
7499 | ALLEN | SALESMAN | 30 | salesmgr
7521 | WARD | SALESMAN | 30 | salesmgr
7654 | MARTIN | SALESMAN | 30 | salesmgr
7698 | BLAKE | MANAGER | 30 | salesmgr
7844 | TURNER | SALESMAN | 30 | salesmgr
7900 | JAMES | CLERK | 30 | salesmgr
(14 rows)
4)
查询涉及策略的相关列,sal大于2000的被滤掉
edb=# SELECT empno, ename, job, sal, comm, deptno, authid FROM vpemp;
empno | ename | job | sal | comm | deptno | authid
-------+--------+----------+---------+---------+--------+-------------
7934 | MILLER | CLERK | 1300.00 | | 10 |
7369 | SMITH | CLERK | 800.00 | | 20 | researchmgr
7876 | ADAMS | CLERK | 1100.00 | | 20 | researchmgr
7499 | ALLEN | SALESMAN | 1600.00 | 1200.00 | 30 | salesmgr
7521 | WARD | SALESMAN | 1250.00 | 937.50 | 30 | salesmgr
7654 | MARTIN | SALESMAN | 1250.00 | 937.50 | 30 | salesmgr
7844 | TURNER | SALESMAN | 1500.00 | 1125.00 | 30 | salesmgr
7900 | JAMES | CLERK | 950.00 | 712.50 | 30 | salesmgr
(8 rows)
2
使能或使不能现有的策略在数据库对象上
以superuser用户运行
ENABLE_POLICY(object_schema VARCHAR2, object_name VARCHAR2,
policy_name VARCHAR2, enable BOOLEAN)
参数:
object_schema:策略应用到的数据库对象所在的schema名
object_name:策略应用到的数据库对象
policy_name:要删除的策略名
enable:true使能 ,false使不能。
例子1
使不能在public.vpemp上的策略secure_salary
The following example disables policy secure_update on table public.vpemp:
DECLARE
v_object_schema VARCHAR2(30) := 'public';
v_object_name VARCHAR2(30) := 'vpemp';
v_policy_name VARCHAR2(30) := 'secure_salary';
v_enable BOOLEAN := FALSE;
BEGIN
DBMS_RLS.ENABLE_POLICY(
v_object_schema,
v_object_name,
v_policy_name,
v_enable
);
END;
3
DROP_POLICY删除策略policy_name,但不删除相关object_schema和object_name.
以superuser运行
DROP_POLICY(object_schema VARCHAR2, object_name VARCHAR2,
policy_name VARCHAR2)
参数:
object_schema:策略应用到的数据库对象所在的schema名
object_name:策略应用到的数据库对象
policy_name:要删除的策略名
例子1:
删除应用到对象public.vpemp上的策略secure_update
DECLARE
v_object_schema VARCHAR2(30) := 'public';
v_object_name VARCHAR2(30) := 'vpemp';
v_policy_name VARCHAR2(30) := 'secure_salary';
BEGIN
DBMS_RLS.DROP_POLICY(
v_object_schema,
v_object_name,
v_policy_name
);
END;