在很多場景下，運維人員為了方便， 通常在Oracle資料庫中使用dba角色給其他使用者授權， dba角色的使用者，擁有很大的能力，可能任意訪問其他資料，那麼在儲存過程中也是這樣嗎？我們一探究竟
#### 1.測試過程
建立兩個使用者，並賦予dba角色，檢視相關資料
``` sql
SQL> conn mywork/oracle
Connected.
SQL> select *from mytest.t1;

P1	   F1	      F2
---------- ---------- ----------
	 1		       2
	 2	    1	       2
	 3	    1	       2
--執行 刪除操作
SQL> delete from mytest.t1;

3 rows deleted.

SQL> 
```

建立儲存過程，測試是否可以執行
``` sql
SQL> create or replace procedure work_test_t1
as
begin
delete from mytest.t1;
commit;
end;
/  2    3    4    5    6    7

Warning: Procedure created with compilation errors.

SQL> show error
Errors for PROCEDURE WORK_TEST_T1:

LINE/COL ERROR
-------- -----------------------------------------------------------------
4/1	 PL/SQL: SQL Statement ignored
4/20	 PL/SQL: ORA-00942: table or view does not exist
SQL> 
```

顯示賦權,並再次執行， 執行成功。
``` sql

SQL> conn mytest/oracle
Connected.
SQL> grant all on t1 to mywork;

Grant succeeded.

SQL> conn mywork/oracle
Connected.
SQL> create or replace procedure work_test_t1
as
begin
delete from mytest.t1;
commit;
end;
/  2    3    4    5    6    7

Procedure created.

SQL> 
```

有上述測試得知，role在定義者許可權儲存過程不可見。

#### 2.總結
在編寫PLSQL程式時，Oracle PL/SQL提供兩種授權模式
- AUTHID DEFINER （定義者許可權）：指編譯儲存物件的所有者。也是預設許可權模式。（在執行中，當前使用者只有除角色許可權外的許可權）
- AUTHID CURRENT_USER（呼叫者許可權）：指擁有當前會話許可權的模式，這可能和當前登入使用者相同或不同。（在執行中，當前使用者擁有已經授以的所有許可權（包含角色許可權和系統許可權）。

#### 3.參考
- 《劍破冰山-Oracle開發藝術》
-  http://blog.itpub.net/15489979/viewspace-742760/

【DBA】Oracle dba角色不是萬能的，儲存過程需要顯示授權

相關文章