Oracle权限

 权限(Privilege)

权限指的是执行特定命令或访问数据库对象的权利，分为系统权限和对象权限。

-- 授权 -- with admin option 可以允许获得权限的用户可以将这个权限继续授予别人 GRANT 权限 [ON 对象] TO 谁 [WITH ADMIN OPTION]; -- 撤销授权 REVOKE 权限 FROM 谁; -- 创建角色 CREATE ROLE 角色名;

操作示例：

-- 对象权限有 select/insert/update/delete/alter/execute 等 -- 系统中所有的系统权限和角色保存在相关字典表中: select * from system_privilege_map; -- 列出系统中所有的系统权限 select * from dba_role; -- 列出系统中所有的角色 -- 查看已授予的权限 select * from dba_sys_privs where grantee='VIP'; select * from dba_tab_privs where grantee='VIP'; select * from dba_role_privs where grantee='VIP'; --- 关于权限的管理 -- 新建用户先 create user vip identified by vip quota 1m on users; -- 新用户什么都干不了，甚至不能登录，如果想让它可以登录，给它一个相应权限： grant create session to vip; -- 现在可以登录 vip 了。但是不能创建表，需要我们给一个相应权限： grant create table to vip; -- 现在，可以创建表了 create table aaa (i int); insert into aaa values (888); commit; -- 上面创建用户、授权的语句可以缩写为： grant create session, create table to vip identified vip quota 1m on user; -- 自己创建的表，自己会有完全的操作权力，但如果想要看别的用户的表，需要授权： grant select on scott.emp to vip; -- 上面就有了查询的权限。但不能修改。如果要修改，需要相应权限。当然，如果想把对象上的所有权力一并授予，需要用到 All: grant all on scott.emp to vip; -- 通过下面语句，可以看到对象权限的授予情况： select * from dba_tab_privs where grantee='VIP';

角色是权限的命名集合，它可以简化授权。

-- 创建角色 create role myrole; -- 将权限赋予角色 grant create session, create table to myrole; grant create view to myrole; -- 甚至可以将另一个角色赋予我们的角色 grant resource to myrole; -- 使用角色 grant myrole to vip; grant myrole to vip with admin option; -- 删除角色 drop role myrole;

[Oracle 预定义角色] Oracle 自带了很多角色，常用的有：

CONNECT，只包含了 create session 等权限，即登录系统的权限 select * from dba_sys_privs where grantee='CONNECT'; RESOURCE，包含了若干 create xxx 权限，即创建对象、创建资源的权限 select * from dba_sys_privs where grantee=RESOURCE'; DBA，包含了200多个系统权限，是用来进行系统管理的角色 grant connect, resource to A_Common_User; grant dba to A_Super_User;

[特殊的 PUBLIC 角色] 公用角色，默认是授予每个用户的。

grant connect to public; -- 这样，不需要进行任何其他操作，所有新建的用户就都拥有登录的功能了。

[最小权限原则] 我们开发的时候，为了方便，经常要做这样的操作：

grant dba to xxx identified by yyy; -- 创建一个用户 xxx，密码为 yyy，授予 dba 角色

但这权力太大，在正式环境中，这样的授权是非常不合适的。一般要遵守 最小权限原则, 也就是：

创建一个用户，授予能完成任务的尽量少的权限，多一个也不好。

比如，我们有客户需要查看 vip 用户下的 student 表，我们需要创建一个用户给他：

-- 第一步，为客户需求创建一个用户 create user guest identified by ***; -- 第二步，授予连接数据库的权限 grant connect to guest; -- 第三步，授予 vip.student 的 select 权限 grant select on vip.student to guest; -- 当然，上面可以再简化为以下。That's All. grant connect to guest identified by ***; grant select on vip.student to guest;