oracle12c新特性表授权助力数据安全管理（oracle12c表授权）

Oracle 12c新特性：表授权助力数据安全管理

随着数据泄露和信息安全问题的日益凸显，数据安全管理越来越被企业所重视。Oracle数据库在这方面也不例外，其提供了丰富的数据安全功能。Oracle数据库12c在表授权方面进行了大量改进，进一步提高了企业的数据安全能力。

表授权是指数据库管理员将某个表授予某个用户的权限，使其可以对该表进行各种操作，这是数据库安全管理中的重要环节。在以前的Oracle版本中，表授权的操作相对繁琐。当管理员需要授权给某些用户某个表的操作权限时，需要分别为不同的权限类型（如SELECT，INSERT，UPDATE，DELETE等）设置授权，并采用一些辅助工具进行管理，这给企业的数据安全管理带来了不小的困扰。

而在Oracle 12c中，则提供了更简单、更精细化的表授权方式。具体而言，表授权主要包括行级安全授权和列级安全授权。

1.行级安全授权

行级安全授权主要是为了防止用户对超过自己权限范围的数据进行访问。采用行级安全授权的用户只能访问那些符合自己权限的数据，而无权查看其他数据。在Oracle 12c中，通过Predicate过滤器集（Predicate Filter Set）来实现行级安全授权。管理员可以根据应用场景的不同，为需要授权的角色或用户定制不同的Predicate过滤器集，用于限制用户访问数据条目的范围。同时，管理员也可以指定默认的Predicate过滤器集，当某个用户没有被显式授权时，Oracle数据库将自动使用该默认过滤器集。

2.列级安全授权

列级安全授权是指管理员可以授权给用户对某些列的查看、修改、删除等操作权限。在Oracle 12c中，列级安全授权器可通过设置函数式索引来实现。例如，管理员可以为一个表的某个列设定一个函数式索引，该索引返回的结果即为用户有权访问的数据列。当用户尝试访问该表的某列时，Oracle数据库将使用该索引进行过滤，从而确保只有被授权的用户可以看到该列的内容。

当然，以上的行级和列级安全授权并不是唯一的。在Oracle 12c中，还提供了基于评估上下文的安全授权、基于角色的安全授权等。这些新特性可以满足不同企业安全管理需求，进一步提高了数据安全的可控性和灵活性。

在Oracle 12c中，表授权的功能得到了显著的提升，为企业数据安全管理提供了更好的支持。管理员可以通过设置行级、列级等不同的安全授权策略，确保数据库的数据只对被授权的用户可见，并防止敏感数据泄漏。以下是行级安全授权的一个示例代码：

创建初始权限

“`sql

GRANT SELECT ON saledetls TO sales_role;

CREATE VIEW sales_role_view AS

SELECT * FROM saledetls WHERE salesrep = USER;

GRANT SELECT, INSERT, UPDATE, DELETE ON sales_role_view TO sales_users;

创建基于 Predicate Filter Set 的安全限制

```sql
CREATE OR REPLACE FUNCTION sales_predfilter (
  p_schema_name IN VARCHAR2,
  p_object_name IN VARCHAR2)
RETURN VARCHAR2 AS
  lv_schema_name VARCHAR2(30) := SYS_CONTEXT('USERENV','CURRENT_SCHEMA');
  lv_object_name VARCHAR2(30) := SYS_CONTEXT('USERENV','CURRENT_OBJECT');
BEGIN
  IF lv_schema_name = p_schema_name AND lv_object_name = p_object_name THEN
    RETURN 'salesrep = USER';
  ELSE
    RETURN NULL;
  END IF;
END;
/

GRANT EXECUTE ON sales_predfilter TO sales_users;
GRANT USE ON TABLE saledetls TO sales_users;
BEGIN
  DBMS_RLS.ADD_POLICY (object_schema   => 'sales',
                       object_name     => 'saledetls',
                       policy_name     => 'sales_policy',
                       function_schema => 'sys',
                       policy_function => 'sales_predfilter',
                       statement_types => 'SELECT, UPDATE',
                       enable          => TRUE,
                       static_policy   => FALSE);
END;
/