关于oracle policy

今天下午用了一个下午偶然碰到oracle policy这个概念，知道这个是用在安全方面控制数据的，例如，在一家公司，员工只可以看到本部门员工的记录或者可以看到其他部门的有关记录，但对于工资这个敏感数据则不能看到，对于这样的需求oracle policy则可以解决。本人觉得很有意思，于是就找相关文档看了看并操作了一回，现把过程记录下来：

connect  dbown/dbown@db

create table employee(select  'qi' name,1 deptno,2000 salary from dual union all select 'guang',2,1600 from dual

union all select 'wang',1,1800 from dual union all select 'li',1,2200 from dual union all select 'zhang',2,3000 from dual);

create or replace function FN(p_owner in varchar2,p_object in varchar2) return varchar2 IS

begin

 return 'deptno=1';

end FN;

connect  sys/db@db as sysdba

SQL> begin
  2  dbms_rls.add_policy(object_schema => 'dbown'
  3  ,object_name => 'employee'
  4  ,policy_name => 'salary'
  5  ,function_schema => 'dbown'
  6  ,policy_function => 'FN'
  7  ,sec_relevant_cols => 'salary');
  8  end;
  9  /

connect dbown/dbown@db

select * from employee;

name deptno salary

qi            1         2000
wang     1         1800
li             1         2200

只可以看到部门1的相关记录。

connect sys/db@db as sysdba

SQL> begin
  2  dbms_rls.enable_policy(object_schema => 'dbown'
  3  ,object_name => 'employee'
  4  ,policy_name => 'salary'
  5  ,enable => false);
  6  end;
  7  /

SQL> begin
  2  dbms_rls.add_policy(object_schema => 'dbown'
  3  ,object_name => 'employee'
  4  ,policy_name => 'salary'
  5  ,function_schema => 'dbown'
  6  ,policy_function => 'FN'
  7  ,sec_relevant_cols => 'salary'
  8  ,sec_relevant_cols_opt => dbms_rls.ALL_ROWS);
  9  end;
 10  /

connect dbown/dbown@db

select * from employee;

name  deptno       salary

 qi             1             2000
guang     2 
wang       1             1800
li               1            2200
zhang      2 

则所有记录都有显示，只是非部门1的记录不能看到salary.

 

来自 “ ITPUB博客 ” ，链接：http://blog.itpub.net/13387766/viewspace-344598/，如需转载，请注明出处，否则将追究法律责任。

转载于:http://blog.itpub.net/13387766/viewspace-344598/