阿里云-云小站(无限量代金券发放中)
【腾讯云】云服务器、云数据库、COS、CDN、短信等热卖云产品特惠抢购

Oracle存储过程中authid current_user和authid definer

199次阅读
没有评论

共计 2730 个字符,预计需要花费 7 分钟才能阅读完成。

以下举例说明,authid current_userauthid definer 的一些差别。

DB Version :11.2.0.4

举例1

用户system:

用户 system 新建一个存储过程p_test,这里authid current_user

create or replace procedure p_test

authid current_user

 as

  v_count number;

begin

  select count(*) into v_count from dba_objects;

  dbms_output.put_line(v_count);

end;

用户 system 授权 scott 有执行这个存储过程 system.p_test 的权限。

grant execute on system.p_test to scott;

用户scott:

用户 scott 执行存储过程system.p_test

begin

  system.p_test;

end;

报错,表或视图不存在,因为没权限 select 视图dba_objects

ORA-00942: table or view does not exist

ORA-06512: at “SYSTEM.P_TEST”, line 6

ORA-06512: at line 2

用户system:

用户 system 新建一个存储过程p_test,这里不指定authid,即默认的authid definer

create or replace procedure p_test

 as

  v_count number;

begin

  select count(*) into v_count from dba_objects;

  dbms_output.put_line(v_count);

end;

用户scott:

用户 scott 执行存储过程system.p_test

begin

  system.p_test;

end;

执行成功。authid definer是使用定义者的权限去运行的,systemselect dba_objects 的权限,所执行成功。

 

举例2

用户system:

用户 system 新建一个存储过程p_test2,这里不指定authid,即默认的authid definer

create or replace procedure p_test2

 as

  begin

  execute immediate ‘create table scott.tb_01 as select * from dual’;

end;

用户 system 执行存储过程system.p_test

begin

  system.p_test2;

end;

报错,无权限。虽然 system 有执行 create table scott.tb_01 的权限,但这个权限是角色 DBA 中的权限,在 authid definer 的存储过程是disabled[All roles are disabled in any named PL/SQL block (stored procedure, function, or trigger) that executes with definer’s rights.]

ORA-01031: insufficient privileges

ORA-06512: at “SYSTEM.P_TEST2”, line 5

ORA-06512: at line 2

用户 system 新建一个存储过程p_test2,这里authid current_user

create or replace procedure p_test2

authid current_user

 as

  begin

  execute immediate ‘create table scott.tb_01 as select * from dual’;

end;

用户 system 执行存储过程system.p_test

begin

  system.p_test2;

end;

执行成功。authid current_user时,使用存储过程的会话的角色 DBA 中的权限是 enabled,所以执行成功。这一点可以通过在存储过程中查看session_roles 视图来验证。

执行成功。

 

举例3

用户system:

用户 system 授权 DBA 角色给 scott。这里注意,scoot 只有授权之后的新会话才具有 DBA 角色。

grant dba to scott;

用户scott:

用户 scott 新建一个存储过程p_test

create or replace procedure p_test

 as

  v_count number;

begin

  select count(*) into v_count from dba_objects;

  dbms_output.put_line(v_count);

end;

编译时报错,表或视图不存在。因为 scott 虽然具有 DBA 的角色,但在编译时,角色是 disabled。这里不论authid current_user 还是 authid definer,因为authid 属性是作用于运行时,而不是编译时。

Compilation errors for PROCEDURE SCOTT.P_TEST

Error: PL/SQL: ORA-00942: table or view does not exist

Line: 6

Text: select count(*) into v_count from dba_objects;

用户system:

用户 system 授权 dba_objects 视图的 select 权限给scott

grant select on dba_objects to scott;

用户scott:

用户 scott 新建一个存储过程p_test

create or replace procedure p_test

 as

  v_count number;

begin

  select count(*) into v_count from dba_objects;

  dbms_output.put_line(v_count);

end;

编译成功。因为这时 scott 具有对视图 dba_objectsselect权限,而且这个权限不是来自于角色。

 

总结:

1.authid current_user使用的是调用者的权限去运行,authid definer使用定义者的权限去运行。

2.角色在 authid definer 的存储过程中是disabled

3.存储过程编译时角色也是 disabled,并且不验证动态SQL 的权限。

4.以上也适用于函数、触发器,即命名的 PL/SQL 块。

更多 Oracle 相关信息见Oracle 专题页面 http://www.linuxidc.com/topicnews.aspx?tid=12

本文永久更新链接地址:http://www.linuxidc.com/Linux/2017-05/144173.htm

正文完
星哥玩云-微信公众号
post-qrcode
 0
星锅
版权声明:本站原创文章,由 星锅 于2022-01-22发表,共计2730字。
转载说明:除特殊说明外本站文章皆由CC-4.0协议发布,转载请注明出处。
【腾讯云】推广者专属福利,新客户无门槛领取总价值高达2860元代金券,每种代金券限量500张,先到先得。
阿里云-最新活动爆款每日限量供应
评论(没有评论)
验证码
【腾讯云】云服务器、云数据库、COS、CDN、短信等云产品特惠热卖中