Детальный контроль доступа и контексты приложения. Часть 2

Часть 1

• Важное предупреждение
  • Пример 2. Использование контекста приложения

Важное предупреждение

  3  as
 4  begin
 5      if ( user = 'RLS_ADMIN' ) then
 6          return '';
 7      else
 8          return 'owner = USER';
 9      end if;
10  end;

SQL> create or replace function rls_examp
  2  ( p_schema in varchar2, p_object in varchar2 )
  3  return varchar2
  4  as
  5  begin
  6          if ( sys_context( 'myctx', 'x' ) is not null )
  7          then
  8                  return 'x > 0';
  9          else
 10                  return '1=0';
 11          end if;
 12  end;
/

SQL> create table t ( x int );
Table created.

SQL> insert into t values ( 1234 );
1 row created.

SQL> begin
  2     dbms_rls.add_policy
  3     ( object_schema   => user, object_name => 'T',
  4       policy_name => 'T_POLICY', function_schema => user,
  5       policy_function => 'rls_examp', statement_types => 'select' );
  6  end;
  7  /
PL/SQL procedure successfully completed.

SQL> create or replace procedure set_ctx( p_val in varchar2 )
  2  as
  3  begin
  4          dbms_session.set_context( 'myctx', 'x', p_val );
  5  end;
  6  /
Procedure created.

SQL> create or replace context myctx using set_ctx;
Context created. 

SQL> exec set_ctx( null );
PL/SQL procedure successfully completed.

SQL> select * from t;
no rows selected
SQL> exec set_ctx( 1 ) ;
PL/SQL procedure successfully completed.

SQL> select * from t;
     X
---------
  1234

SQL> create or replace procedure dump_t
  2  ( some_input in number default NULL )
  3  as
  4  begin
  5          dbms_output.put_line
  6          ('*** Результат работы SELECT * FROM T' );
  7  
  8          for x in (select * from t ) loop
  9                  dbms_output.put_line( x.x );
 10          end loop;
 11  
 12  
 13          if ( some_input is not null )
 14          then
 15                  dbms_output.put_line
 16                  ('*** Результат работы другого SELECT * FROM T' );
 17  
 18                  for x in (select * from t ) loop
 19                          dbms_output.put_line( x.x );
 20                  end loop;
 21          end if;
 22  end;
 23  /
Procedure created.

SQL> -- Включим вывод на экран результат dbms_output.put_line
SQL> set serveroutput on

SQL> -- отменим установку контекста - присвоим X значение NULL
SQL> exec set_ctx( NULL )
PL/SQL procedure successfully completed.

SQL> -- выполним процедуру. Заметьте, что
SQL> -- some_input по умолчанию может быть NULL. 
SQL> -- Выполнится только 1-ый select * from t.
SQL> -- Как и ожидалось, выбрано НОЛЬ строк, так как 
SQL> -- использовался предикат 1=0
SQL> exec dump_t
*** Результат работы SELECT * FROM T
PL/SQL procedure successfully completed.

SQL> -- Теперь установим значение контекста в ненулевое значение.
SQL> exec set_ctx( 1 )
PL/SQL procedure successfully completed.

SQL> -- Так как таблица t содержит 1 строку со значением 1234, а
SQL> -- предикат должен быть "x > 0", когда этот атрибут установлен, то
SQL> -- для получения данных можно выполнить запрос к таблице T.
SQL> --
SQL> -- Чтобы убедиться в том, что результат может оказаться неверным, 
SQL> -- выполним процедуру dump_t с некоторым НЕНУЛУВЫМ входным параметром.
SQL> -- В этом случае выполнятся оба select * from T
SQL> --
SQL> -- Следует обратить внимание на то, что при первом выполнении
SQL> -- "select * from T" никакие данные не возвращаются!
SQL> -- А при втором - возвращаются!
SQL> --
SQL> -- Почему? Смотрите далее

SQL> exec dump_t( 0 )
*** Результат работы SELECT * FROM T
*** Результат работы другого SELECT * FROM T
1234
PL/SQL procedure successfully completed.

• Результаты одного запроса не противоречат результатам другого при работе с детальным контролем доступа.
• Изменить предикат в середине сессии не удастся, иначе можно получить неопределенные непредсказуемые результаты.
• Предприняты меры для того, чтобы убедить политику безопасности в том, что имеющийся предикат - единственный для пользователя, и не пытаться возвратить предикат, специализированный под пользователя, работающего в текущем окружении.

• Служащий может:
  • читать свою запись.

SQL> -- создадим демонстрационную схему.  Она основывается на таблицах
SQL> -- EMP и DEPT, владелец которых scott.  Добавим в схему 
SQL> -- описатель RI (идентификатор контролера) и переименуем
SQL> -- значения поля ENAME в таблице EMP 
SQL> -- так, чтобы они соответствовали именам пользователей тестируемой 
SQL> -- базы данных (например: пользователю RLS_KING соответствует имя
SQL> -- пользователя RLS_KING в таблице emp)

SQL> create table dept as select * from scott.dept;
Table created.

SQL> alter table dept add constraint dept_pk primary key(deptno);
Table altered.

SQL> create table emp_base_table as select * from scott.emp;
Table created.

SQL> update emp_base_table set ename = 'RLS_' // ename;
14 rows updated.

SQL> alter table emp_base_table add constraint emp_pk primary key(empno);
Table altered.

SQL> alter table emp_base_table add constraint emp_fk_to_dept
   2  foreign key (deptno) references dept(deptno);
Table altered.

SQL> -- создадим индексы, которые будут использоваться функцией
SQL> -- контекста приложения для повышения производительности.
SQL> -- Необходимо быстро определить, является ли 
SQL> -- некоторый пользователь mgr (менеджером) отдела. Кроме того,
SQL> -- необходимо быстро конвертировать имя пользователя в empno

SQL> create index emp_mgr_deptno_idx on emp_base_table(mgr);
Index created.
SQL> create unique index emp_ename_idx on emp_base_table(ename);
Index created.

SQL> -- Кроме того, создадим представление EMP на основе запроса 
SQL> -- select * from emp_base_table. К этому ПРЕДСТАВЛЕНИЮ
SQL> -- будет применена политика, и через него 
SQL> -- приложения будут запрашивать/вставлять/обновлять и так далее.

SQL> create view emp as select * from emp_base_table;
View created.

SQL> -- создадим таблицу для управления HR_REPS.  Для этого будет 
SQL> -- использоваться INDEX ORGANIZED TABLE, так как всегда будет
SQL> -- выполняться запрос только такого типа, как
SQL> -- "select * from hr_reps where username = X and deptno = Y".
SQL> -- В использовании таблицы нет необходимости, достаточно
SQL> -- использовать только индекс.

SQL> create table hr_reps
  2  (   username    varchar2(30),
  3      deptno        number,
  4      primary key(username,deptno)
  5  )
  6  organization index;
Table created.

SQL> -- Свяжем HR Reps с отделами.  KING может видеть все отделы.

SQL> insert into hr_reps values ( 'RLS_JONES', 10 );
SQL> insert into hr_reps values ( 'RLS_BLAKE', 20 );
SQL> insert into hr_reps values ( 'RLS_CLARK', 30 );
SQL> insert into hr_reps values ( 'RLS_KING', 10 );
SQL> insert into hr_reps values ( 'RLS_KING', 20 );
SQL> insert into hr_reps values ( 'RLS_KING', 30 );
SQL> insert into hr_reps values ( 'RLS', 10 );
SQL> commit;
Commit complete.

Часть 3