角色是我们使用Oracle进行权限管理时候的一个重要方法。通过设置不同类型的角色，组织不同角色可以使用的系统权限和对象权限。之后简单的将不同角色附加给不同用户，这样在管理和维护上都有着很多优势。
但是，实际我们进行开发应用系统时，要慎用role进行权限管理。因为在Oracle中，在一些场景下使用role角色是受到限制的。其中一个不可忽视的问题就是存储过程SP对角色权限的无效现象。
基础说明
先让我们一起看看Oracle权限体系的结构。在Oracle中，用户的权限分为两个层次：对象权限（object privileges）和系统权限（system privileges）。
对象权限简单说，就是设置的用户可以对哪个对象（数据表、视图、存储过程等）进行何种类型的操作（select、execute等）。这种层次的权限集中在对象层面上，使用grant和revoke进行权限的授权和收回。格式为：grant/revoke on to/from 。
系统权限则是从另一个角度对操作进行的划分。主要是规定该用户在系统中能做什么？比如，创建数据表、查询数据字典、修改存储过程等等。格式通常为：grant/revoke to/from 。
对象权限和系统权限是用户权限在不同角度划分。以横纵的方式进行权限管理可以让设置更加游刃有余。不过，有一定要注意，无论是对象权限还是系统权限，都是规定用户可以做什么，而不是规定了用户不可以做什么。此外，用户任何操作，在没有显示指定权限说可以这样做的情况下，默认是认为不可以的。这点很重要，充分避免了设置出现矛盾的情况。
对象权限和系统权限是系统预定义的，除了对象名称外，通常不会有自定义的情况。
而角色权限（role privileges）相当于对对象权限和系统权限的一种归纳。根据不同数据库使用场景和工作角色，Oracle预定义了很多的角色，用户可以根据实际情况进行自定义的角色空间也有很多。
初步介绍完基础，我们进行试验，看看使用角色给我们带来的一些困扰。
实验环境准备
我们使用Oracle 10gR2版本。
SQL> select * from v$version;
BANNER
----------------------------------------------------------------
Oracle Database 10g Enterprise Edition Release 10.2.0.1.0 - Prod
PL/SQL Release 10.2.0.1.0 - Production
CORE 10.2.0.1.0 Production
TNS for 32-bit Windows: Version 10.2.0.1.0 - Production
NLSRTL Version 10.2.0.1.0 - Production
准备一个全新的用户Test，初始只赋予resource和connect权限。
Connected as SYS
SQL> create user test
2 identified by test;
User created
SQL> grant resource to test;
Grant succeeded
SQL> grant connect to test;
Grant succeeded
Connect角色是允许用户登录到Oracle数据库服务器上，其中包括了create session类的系统权限。Resource是默认schema使用的角色之一，允许用户进行简单对象创建，Schema内部对象访问等操作。准备了一个相对干净的环境。
默认用户行为
我们以dba_objects数据字典作为研究对象。
SQL> conn test/test@orcl;
Connected to Oracle Database 10g Enterprise Edition Release 10.2.0.1.0
Connected as test
SQL> select count(*) from dba_objects;
select count(*) from dba_objects
ORA-00942: 表或视图不存在
此处，Oracle对没有权限访问的对象，并不是告诉你说该对象没有权限访问，而是报告说对象不存在。很简单的提示变化，却体现着Oracle跟深层次的信息保护屏蔽作用。因为，对象是否存在，也是一种信息。报错提示信息，很可能会存在信息、结构泄露的漏洞。
显然，仅拥有connect和resource权限，是不能够访问dba_objects视图的。
角色权限select_catalog_role
在预定义角色中，有select_catalog_role角色，作用是赋予进行数据字典视图select权限。
首先切换到sys用户，进行用户test权限的赋予。
SQL> conn sys/sysacca@orcl as sysdba;
Connected to Oracle Database 10g Enterprise Edition Release 10.2.0.1.0
Connected as SYS
SQL> grant select_catalog_role to test;
Grant succeeded
SQL> select * from dba_role_privs where grantee='TEST';
GRANTEE GRANTED_ROLE ADMIN_OPTION DEFAULT_ROLE
------------------------------ ------------------------------ ------------ ------------
TEST RESOURCE NO YES
TEST SELECT_CATALOG_ROLE NO YES
TEST CONNECT NO YES
回到test用户，进行测试。
SQL> conn test/test@orcl;
Connected to Oracle Database 10g Enterprise Edition Release 10.2.0.1.0
Connected as test
SQL> select count(*) from dba_objects;
COUNT(*)
----------
51355
设置角色之后，用户可以访问到字典视图dba_objects了。那么，下面我们要编写一个存储过程，中间包括对dba_objects对象的访问。
SQL> create or replace procedure p_test_nc
2 is
3 i number;
4 begin
5 select count(*)
6 into i
7 from dba_objects;
8
9 dbms_output.put_line(to_char(i));
10 end p_test_nc;
11 /
Warning: Procedure created with compilation errors
出现了报错，该代码没有任何特殊之处。结合刚刚test用户已经可以访问dba_objects的现象，错误是不大会出现的。我们具体查看错误类型信息。
SQL> col name for a15;
SQL> select name, type, sequence,line,position,text from user_errors;
NAME TYPE SEQUENCE LINE POSITION TEXT
--------------- ------------ --------- --------------------------------------------------------
P_TEST_NC PROCEDURE 1 7 8 PL/SQL: ORA-00942: 表或视图不存在
P_TEST_NC PROCEDURE 2 5 3 PL/SQL: SQL Statement ignored
第七行的对象报错不存在，显然是dba_objects导致的。那么，test已经拥有了select_catalog_role的角色信息，而且在command窗口中可以访问到dba_objects。而在存储过程中却不能成功呢？
Select any dictionary权限
我们先留待问题，换一个角度来实现这个SP的构建。Oracle具有一个select any dictionary的系统权限，表示的是可以对数据字典进行访问查询。我们观察一下将其赋给test用户后的效果。
首先还是使用sys用户进行权限设置。
SQL> conn sys/sysacca@orcl as sysdba;
Connected to Oracle Database 10g Enterprise Edition Release 10.2.0.1.0
Connected as SYS
SQL> revoke select_catalog_role from test;
Revoke succeeded
SQL> grant select any dictionary to test;
Grant succeeded
SQL> select * from dba_role_privs where grantee='TEST';
GRANTEE GRANTED_ROLE ADMIN_OPTION DEFAULT_ROLE
------------------------------ ------------------------------ ------------ ------------
TEST RESOURCE NO YES
TEST CONNECT NO YES
通过sys用户，已经取消了select_catalog_role角色在test上的起效，并且赋予了select any dictionary系统权限给test。下面观察实验现象。
SQL> conn test/test@orcl;
Connected to Oracle Database 10g Enterprise Edition Release 10.2.0.1.0
Connected as test
SQL> select count(*) from dba_objects;
COUNT(*)
----------
51356
SQL> create or replace procedure p_test_nc
2 is
3 i number;
4 begin
5 select count(*)
6 into i
7 from dba_objects;
8
9 dbms_output.put_line(to_char(i));
10 end p_test_nc;
11 /
Procedure created
SP被顺利编译，说明权限设置是问题的关键。
通过这个小例子和实验，我们可以做出下面的结论：
ü 在进行一般的SQL操作或者匿名块的时候，系统权限、对象权限和role所起到的效果一样的，没有差异；
ü 但是，当在一个存储过程类封装代码的时候，用户执行时角色权限是失效的，之后系统和对象权限是起效的；
ü 综合上述，我们在设置权限的时候，尽量避免使用role进行设置；
来自 “ ITPUB博客 ” ，链接：http://blog.itpub.net/17203031/viewspace-691917/，如需转载，请注明出处，否则将追究法律责任。
转载于:http://blog.itpub.net/17203031/viewspace-691917/
1726
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
