我們知道，在9i中，FGA只能審計SELECT 語句，而DML語句需要用普通審計或者觸發器來記錄。10g增強了FGA的功能，可以審計SELECT和DML語句了。

SQL> SELECT * FROM V$VERSION;

BANNER
----------------------------------------------------------------
Oracle Database 10g Enterprise Edition Release 10.2.0.1.0 - Prod
PL/SQL Release 10.2.0.1.0 - Production
CORE 10.2.0.1.0 Production

TNS for 32-bit Windows: Version 10.2.0.1.0 - Production
NLSRTL Version 10.2.0.1.0 - Production

SQL> CREATE TABLE T3(C1 INT,C2 INT);

Table created

SQL> INSERT INTO T3 VALUES(1,1);

1 row inserted

SQL> INSERT INTO T3 VALUES(2,2);

1 row inserted

SQL> COMMIT;

Commit complete

對比一下9i和10g的DBMS_FGA新增策略的過程：
SQL> DESC DBMS_FGA.ADD_POLICY
Parameter Type Mode Default?
--------------- -------- ---- --------
OBJECT_SCHEMA VARCHAR2 IN Y
OBJECT_NAME VARCHAR2 IN
POLICY_NAME VARCHAR2 IN
AUDIT_CONDITION VARCHAR2 IN Y
AUDIT_COLUMN VARCHAR2 IN Y
HANDLER_SCHEMA VARCHAR2 IN Y
HANDLER_MODULE VARCHAR2 IN Y
ENABLE BOOLEAN IN Y

SQL> DESC DBMS_FGA.ADD_POLICY
Parameter Type Mode Default?
----------------- -------------- ---- --------
OBJECT_SCHEMA VARCHAR2 IN Y
OBJECT_NAME VARCHAR2 IN
POLICY_NAME VARCHAR2 IN
AUDIT_CONDITION VARCHAR2 IN Y
AUDIT_COLUMN VARCHAR2 IN Y
HANDLER_SCHEMA VARCHAR2 IN Y
HANDLER_MODULE VARCHAR2 IN Y
ENABLE BOOLEAN IN Y
STATEMENT_TYPES VARCHAR2 IN Y --設定審計什麼操作
AUDIT_TRAIL BINARY_INTEGER IN Y --設定審計記錄放置在硬碟還是放置在資料庫表中，同時還可以設定審計資訊包含什麼內容
AUDIT_COLUMN_OPTS BINARY_INTEGER IN Y --設定sql語句是涉及到AUDIT_COLUMN指定的所有列還是一個列才審計

可以發現，10g的過程多了幾個引數，它比9i增強的地方也主要在這裡。這裡我們簡單看看STATEMENT_TYPES這個引數。

9i下，FGA只能審計SELECT語句，10g下，FGA可以審計SELECT和DML，看下面的例子：
--10g執行
SQL> begin
2 dbms_fga.add_policy (
3 object_schema => 'SUK',
4 object_name => 'T3',
5 policy_name => 'T3_SEL',
6 audit_column => 'C1',
7 statement_types => 'SELECT,UPDATE,DELETE,INSERT',
8 audit_trail => DBMS_FGA.DB + DBMS_FGA.EXTENDED
9 );
10 end;
11 /

PL/SQL procedure successfully completed

SQL> SELECT * FROM T3 WHERE C1=1;

C1 C2
--------------------------------------- ---------------------------------------
1 1

SQL> INSERT INTO T3 VALUES(3,3);

1 row inserted

SQL> SELECT SESSION_ID,DB_USER,SQL_TEXT FROM DBA_FGA_AUDIT_TRAIL;

SESSION_ID DB_USER SQL_TEXT
---------- ------------------------------ --------------------------------------------------------------------------------
765 SUK SELECT * FROM T3 WHERE C1=1

765 SUK INSERT INTO T3 VALUES(3,3)

--可以看到，SELECT和INSERT都審計了。
--而在9i下，是不能設定審計SQL語句的型別的，因為它只能審計SELECT。

10G FGA的增強

相關文章