Oracle的虛擬私有數(shù)據(jù)庫特性（也稱作細(xì)顆粒度存取控制）對諸如SELECT等數(shù)據(jù)管理語言DML語句提供行級安全性檢查。PL/SQL策略函數(shù)和某個數(shù)據(jù)表相關(guān)聯(lián)，這個函數(shù)可以檢查當(dāng)前用戶的上下文背景并添加查詢中WHERE語句的條件（斷言），一個用戶或者應(yīng)用可以這樣來寫：

SELECT * FROM employees;

但是實際上oracle將會執(zhí)行這樣的語句：

SELECT * FROM employees

WHERE department_id = 60;

因此，只有在查尋范圍之內(nèi)的行（在department數(shù)據(jù)表中的前60行）才會被查詢語句返回。利用oracle 10g中的新選項可以讓oracle返回所有行，而不僅僅是被授權(quán)的行。然而，未被授權(quán)行中包含的某些列（稱為安全相關(guān)列）將顯示NULL來代替實際數(shù)據(jù)，而其它的列值將會正常顯示。

要想使用列值掩碼必須在虛擬私有數(shù)據(jù)庫策略中做兩件事。

首先必須創(chuàng)建一個列級策略來設(shè)計某些列為安全相關(guān)列.其次必須在查詢中包含ALL_ROWS選項以用來返回所有行。這兩個參數(shù)的結(jié)合就可以實現(xiàn)列值掩碼。

列表A顯示了一個稱為rls_dept的策略函數(shù)。它返回斷言“department_id=60”，用來設(shè)定對于EMPLOYEES表中60行之內(nèi)的department字段。（實際上，這個函數(shù)并不返回一個靜態(tài)表，它可以確定當(dāng)前用戶是誰，并據(jù)此返回給該用戶正確的部門值。）

列表B顯示了如何應(yīng)用列表A中的函數(shù)創(chuàng)建列值掩碼。在DBMS_RLS包中的過程ADD_POLICY創(chuàng)建一個稱為restrict_dept_policy的新策略。參數(shù)sec_relevant_cols表明字段salary和commission_pct是安全相關(guān)列。一個包含上述兩個字段的查詢將會應(yīng)用到該策略函數(shù)，不包含的查詢就不會應(yīng)用該策略。最后，參數(shù)sec_relevant_cols_opts設(shè)定為常量ALL_ROWS。

列值掩碼應(yīng)用于SELECT語句，無論哪個客戶訪問數(shù)據(jù)庫都可以實施列值掩碼，諸如SQL *Plus、.NET應(yīng)用或者其它工具。

列表A：

CREATE OR REPLACE

FUNCTION rls_dept (obj_owner IN VARCHAR2, obj_name IN VARCHAR2)

RETURN VARCHAR2

AS

predicate

VARCHAR2 (200);

BEGIN

predicate := 'department_id = 60';

RETURN (predicate);

END rls_dept;

/

列表B：

BEGIN

DBMS_RLS.ADD_POLICY(object_schema=>'HR',

object_name=>'EMPLOYEES',

policy_name=>'restrict_dept_policy',

function_schema=>'HR',

policy_function=>'rls_dept',

sec_relevant_cols=>'salary,commission_pct',

sec_relevant_cols_opt=>dbms_rls.ALL_ROWS);

END;

/

更多信息請查看IT技術(shù)專欄