Oracle 管理对象权限

Oracle 管理对象权限
对象权限指访问其他用户模式对象的权利。

在Oracle数据库中，用户可以直接访问其模式对象，但如果要访问其他用户的模式对象时，必须具有相应的对象权限。

1．对象权限的分类
根据不同的对象类型，Oracle数据库设置了不同类型的对象权限。

对象权限及对象之间的对应关系如表13-5所示。

表13-5 对象、对象权限的对应关系
ALTE R DELET
E
EXECU
TE
INDE
X
INSE
RT
RREA
D
REFEREN
CE
SELE
CT
UPDA T
E
DIRECTOR
Y
√
FUNCTION √
PROCEDU
RE
√
PACKAGE √
SEQUENCE √√
TABLE √√√√√√√
VIEW √√√√
其中，“√”表示某种对象所具有的对象权限，空格表示该对象没有某种权限。

例如，对于基本表TABLE，具有ALTER、DELETE、INDEX、INSERT、REFERENCES、SELECT、UPDATE权限，而没有EXECUTE权限。

多种权限组合在一起时，可以使用ALL关键字，表示该对象的全部权限，对于不同的对象，ALL组合的权限数量是不相同的。

对于表TABLE而言，ALL表示ALTER、DELETE、INDEX、INSERT、REFERENCES、SELECT、UPDATE权限；对于存储过程，ALL只代表EXECUTE权限。

2．授予对象权限
对象权限由该对象的拥用者为其他用户授权，非对象的拥有者不得向其他用户授予对象授权。

将对象权限授出后，获权用户可以对对象进行相应的操作，没有授予的权限不得操作。

从Oracle 9i开始，DBA用户可以将任何对象权限授予其他用户。

授予对象权限所使用的GRANT语句形式如下：
grant { object_priv [ (column_list) ] [,object_priv[(column_list)]]….
| ALL [PRIVILEGES] ON [ schema.]object
TO { user | role | PUBLIC} [,{user | role | public}] …
[with grant option]
其中，OBJECT_PRIV是对象权限，COLUMN_LIST用于标识权限所对应列的列表，SCHEMA表示模式名，USER表示被授权的用户，ROLE表示被授权的角色。

对象权限不仅可以授予用户、角色，也可以授予PUBLIC。

将对象权限授予PUBLIC后，会使所有用户都具有该对象权限。

授予对象权限时，可以带有WITH GRANT OPTION选项，若使用该选项，被授权用户可以将对象权限转授给其他用户。

例如，以下的示例向用户DEVELOPER 授予对EMP 表的SELECT 权限：
SQL> grant select on scott.emp 2 to developer; 授权成功。

SQL> conn developer/developer 已连接。

SQL> select ename,job,sal 2 from scott.emp 3 where deptno=10;
ENAME JOB SAL ---------- --------- ---------- MARY CLERK 1000 ATG CLERK
1200 CLARK MANAGER 2550 KING PRESIDENT 5100 MILLER CLERK 1400
在直接授予对象权限时，用户可以访问对象的所有列。

在向用户授予对象权限时，还可以控制用户对模式对象列的访问，即列权限。

需要注意，只能在INSERT 、UPDATE 和REFERENCES 上授予列权限。

例如，将更新SAL 列的权限授予DEVELOPER 用户后，该用户将只能更新SAL 列：
SQL> grant update(sal) on scott.emp to developer; 授权成功。

SQL> conn developer/developer 已连接。

SQL> update scott.emp 2 set sal=sal*1.1 3 where deptno=10; 已更新5行。

3．显示对象权限
授予对象权限时，Oracle 会将对象权限的信息存放到数据字典中。

表13-6列出与对象权限相关的数据字典视图。

表13-6 对象权限信息的数据字典视图 数据字典视图
描述
DBA_TAB_PRIVS 显示所有用户或角色的对象权限信息 DBA_COL_PRIVS
显示所有用户或角色的列权限信息
注 意 需要注意，WITH GRANT OPTION 选项不能授予角色。

ALL_COL_PRIVS_MADE 显示对象所有者或授权用户授出的所有列权限
ALL_COL_PRIVS_RECD 显示用户或PUBLC组被授予的列权限
ALL_TAB_PRIVS_MADE 显示对象所有者或授权用户所授出的所有对象权限
ALL_TAB_PRIVS_RECD 显示用户所具有的对象权限
例如，下面的语名将查询DBA_TAB_PRIVS显示DEVELOPER用户被授予的所有对象权限：
SQL> col grantor format a10
SQL> col object format a15
SQL> col privilege format a10
SQL> select grantor,owner || '.' ||table_name oject,privilege
2 from dba_tab_privs
3 where grantee='DEVELOPER';
GRANTOR OJECT PRIVILEGE
-------------- ----------- ---------------------------
SCOTT SCOTT.EMP SELECT
其中，GRANTOR表示授权用户，OWNER表示对象所有者，TABLE_NAME为数据库对象，PRIVILEGE表示相应的对象权限，GRANTEE表示为被授权的用户或角色。

4．回收对象权限
一般情况下，收回对象权限是由对象的所有者完成的。

如果以其他用户身份收回对象权限，则要求该用户必须是权限授予者。

回收对象权限的REVOKE语句的形式如下：revoke { object_priv [,object_priv]…| ALL [PRIVILEGES] }
ON [ schema.]object
FROM { user | role | PUBLIC};
[cascade constraints];
回收对象权限时需要注意，授权者只能从自己授权的用户那里回收对象权限。

如果被授权用户基于一个对象权限创建了过程、视图，那么当回收该对象权限后，这些过程、视图将变为无效。

例如，下面的语句回收DEVELOPER用户的对象权限：
SQL> revoke select on scott.emp from developer;
撤销成功。

SQL> connect developer/developer
已连接。

SQL> select * from scott.emp;
select * from scott.emp
*
第 1 行出现错误:
ORA-01031: 权限不足
在回收对象权限时，经过传递获得对象权限的用户将会受到影响，如图13-5所示。

如果用户A将对象权限a授予了用户B，用户B又将对象权限a授予了用户C。

那么，当删除用户B后或从用户B回收对象权限a后，用户C将不再具有该对象权限a，并且用户B 和C中与该对象权限有关的对象都变成无效。

A
B C
A
C
回收权限前
回收权限后
B a
a a
a
图13-5 对象权限的传递及其回收。