Oracle細粒度的訪問控制的基本工作方式

我們都了解Oracle細粒度的訪問控制的相關工作方式。即 ，細粒度訪問控制其實就是虛擬化，專用數據庫 (VPD) ，它可以提供強大的行級安全功能。它是在 Oracle8i 中推出的，已經受到廣泛的歡迎，並且在從教育軟件到金融服務等各種應用程序得到采用。

VPD 的工作方法是，通過透明地更改對數據的請求，基於一系列定義的標准向用戶提供表的局部視圖。在運行時，所有查詢都附加了謂詞，以便篩選出准許用戶看到的行。例如，如果只允許用戶查看帳戶管理員 SCOTT 的帳戶，則 VPD 設置自動地將查詢：

select * from accounts;  

重寫為：

select * from accounts  
where am_name = 'SCOTT'; 　 

DBA 在表 ACCOUNTS 上設置了一項安全策略。該策略具有一個相關函數，稱為policy function，它返回一個用作謂詞的字符串 where am_name = 'SCOTT'。如果您不熟悉該特性的全部功能，我建議您閱讀 Oracle 雜志的文章“利用 VPD 保持信息的私密性”。

生成謂詞所需的重復分析是一種在某些情況下可以進行修整的開銷。例如，在大部分實際情況中，謂詞並不象 am_name = 'SCOTT' 那樣是靜態的；它基於用戶的身份、用戶的權限級別、用戶向哪個帳戶管理員進行報告等情況,可能更具有動態性。

由策略函數創建並返回的字符串可能會具有很強的動態性，而為了保證其結果，Oracle細粒度訪問控制 必須每次重新執行策略函數，既浪費資源又降低性能。在這種類型的策略中，謂詞每次執行時可能會有很大的差別，該策略稱為“動態”策略，在 Oracle9i 數據庫以及以前的版本中已經提供了這種策略。

除了保留動態策略之外，Oracle 數據庫 10g 還基於謂詞的構造推出了幾種新類型的策略，為提高性能提供了更好的控制：context_sensitive、shared_context_sensitive、shared_static 和 static。現在，讓我們來了解每種策略類型的意義以及如何在適當的場合中使用它們。

動態策略。 為保持向後兼容性，10g 中的默認策略類型為“dynamic” — 正如 Oracle9i 中一樣。在這種情況下，對於每行以及每位用戶，在每次訪問表時都對策略函數進行重新求值。讓我們來詳細分析策略謂詞：

where am_name = 'SCOTT'  

忽略掉 where 子句，謂詞就具有兩個不同的部分：在等式操作符之前的部分 (am_name) 和等式操作符之後的部分 ('SCOTT')。在大多數情況下，後面的部分更象是變量，因為它是由用戶的數據提供的（如果用戶是 SCOTT，則其值為 'SCOTT'）。

在等號前面的部分是靜態的。因此，即使函數不必為生成適當的謂詞而對每行求出策略函數的值，由於了解前面部分的靜態性以及後面部分的動態性，也可以提高性能。在 10g 中，可以在 dbms_rls.add_policy 調用中使用 "context_sensitive" 類型的策略作為參數來實現這種方法：
policy_type => dbms_rls.context_sensitive

在另一個示例中，我們有一個稱為 ACCOUNTS 的表，它擁有幾列，其中一列是 BALANCE，表示帳戶余額。假設允許某個用戶查看低於某特定余額的帳戶，而該余額由應用程序上下文所決定。我們並不在策略函數中將此余額值固定，而是3是根據應用程序上下文確定，如：

create or replace vpd_pol_func  
(  
p_schema in varchar2,  
p_table in varchar2  
)   
return varchar2  
is  
begin  
return 'balance < sys_context(''vpdctx'', ''maxbal'')';   
end;  

應用程序上下文 VPDCTX 的屬性 MAXBAL 可以在會話的前期設定，而函數在運行時可以容易地獲得該數值。

請仔細注意該示例。謂詞有兩部分：小於號之前的部分和之後的部分。之前的部分是“balance”一詞，它是文字符。後面的部分從某種程度而言是靜態的，因為應用程序上下文變量在改變之前一直是常量。如果應用程序上下文屬性不變，則整個謂詞是常量，因此不需要重新執行函數。

如果策略類型定義為對上下文敏感，則 Oracle 細粒度訪問控制數據庫 10g 可以識別此情況以用於優化。如果在會話期間沒有發生會話上下文的變化，則不重新執行該函數，從而顯著提高了性能。

靜態策略。 有時業務操作可以確保謂詞更加靜態。例如，在上下文敏感的策略類型示例中，我們將用戶所見的最大余額定義為一個變量。當 web 應用程序中的 Oracle userid 由許多 web 用戶共享，並且應用程序基於這些用戶的權限來設置該變量（應用程序上下文）時，這種方法很有用。

因此，web 用戶 TAO 和 KARTHIK 都是以用戶 APPUSER 連接到數據庫的，二者可以在其會話中擁有兩個不同的應用程序上下文的值。此時 MAXBAL 的值並不依賴於 Oracle userid，而是依賴 TAO 和 KARTHIK 各自的會話。

在靜態策略的情況下，謂詞更具有可預測性，其說明如下。

LORA 和 MICHELLE 分別是 Acme Bearings 和 Goldtone Bearings 的帳戶管理員。當他們連接數據庫時，他們使用自己的 id，並且只應該看到屬於他們的那些行。在 Lora 方面，謂詞變成 where CUST_NAME = 'ACME'；而對於 Michelle，則是 where CUST_NAME = 'GOLDTONE'。

在這裡，謂詞依賴於他們的 userid，因此他們所創建的任何會話在應用程序上下文中始終具有相同的值。

10g 可以利用這種情況，在 SGA 中對謂詞進行高速緩存，並在會話中重用該謂詞，而不必重新執行策略函數。策略函數類似於以下形式：

create or replace vpd_pol_func  
(  
p_schema in varchar2,  
p_table in varchar2  
)   
return varchar2  
is  
begin  
return 'cust_name = sys_context(''vpdctx'', ''cust_name'')';   
end;  

而策略定義為：　

policy_type => dbms_rls.static 

以上的相關內容就是對Oracle細粒度訪問控制的工作方式的介紹，望你能有所收獲。