ORACLE权限管理调研笔记
在默认的方式下，任何非授权用户都不能在ORACLE执行任何操作，且默认情况下，只有SYSTEM和SYS能给其他用户授予权限。 ORACLE的用户权限分为系统权限（SYSTEMPRIVILEGE）和对象权限（OBJECTPRIVILEGE）。 *系统权限控制了对数据字典的修改。 * 对象权限控制了
在默认的方式下，任何非授权用户都不能在ORACLE执行任何操作，且默认情况下，只有SYSTEM和SYS能给其他用户授予权限。
ORACLE的用户权限分为系统权限（SYSTEMPRIVILEGE）和对象权限（OBJECTPRIVILEGE）。
* 系统权限控制了对数据字典的修改。
* 对象权限控制了对数据的修改。
1 系统权限
系统权限通常是针对修改表数据字典、修改数据库实例的情况进行控制。例如创建用户、创建表空间、控制会话等。
1.1 语法支持
其中权限部分可以有两种选择，分别是：
· 权限：system_privilete和ALL PRIVILEGE
· 角色：role
对于（被授权人）grantee_clause处，也有两种选择：
· 用户：user和PUBLIC
· 角色：role
所以对于系统权限来说，语法实现上主要可以有四种情况：
1. 权限 –> 用户
GRANT privileges[,privilege…] TO username [WITH ADMIN OPTION];
分配权限（PRIVILEGE）给用户(USERNAME)。如果权限是ALL PRIVILEGES，在USER_SYS_PRIVS会显示多行，每个权限一行，另外，username可以是PUBLIC。
对应的系统视图为：DBA_SYS_PRIVS，USER_SYS_PRIVS。
|
SQL> grant create any table to test2; 授权成功。 SQL> select * from sysauth$ where sequence# >= 1273 GRANTEE# PRIVILEGE# SEQUENCE# OPTION$ ---------- ---------- ---------- ---------- 88 92 1273 1 89 -41 1291 SQL> select * from system_privilege_map where privilege=-41; PRIVILEGE NAME PROPERTY ---------- ---------------------------------------- ---------- -41 CREATE ANY TABLE 0 |
2. 权限 –> 角色
GRANT privilege[,privilege…]TO role [WITH ADMIN OPTION];
分配系统权限(PRIVILEGE)给一个角色（ROLE）。
对应的系统视图：ROLE_SYS_PRIVS。
|
SQL> create role role1; 角色已创建。 SQL> grant create any table to role1 with admin option; 授权成功。 SQL> select name, option$,grantee# from sysauth$,system_privilege_map where priv ilege = privilege# and sequence# >= 1274; NAME OPTION$ GRANTEE# ---------------------------------------- ---------- ---------- CREATE ANY TABLE 1 94 |
3. 角色 -> 角色
GRANT role TO role [WITH ADMIN OPTION];
给一个角色（ROLE）授予另一个角色的权限。
对应的系统视图：ROLE_ROLE_PRIVS。
|
SQL> create role role1; 角色已创建。 SQL> create role role2; 角色已创建。 SQL> grant role1 to role2 with admin option; 授权成功。 SQL> select * from role_role_privs where role='ROLE2'; ROLE GRANTED_ROLE ADM ------------------------------ ------------------------------ --- ROLE2 ROLE1 YES |
4. 角色 –> 用户
GRANT role TO username[WITH ADMINOPTION];
分配角色（ROLE）给用户（USERNAME），username可以是public。
对应的系统视图为：USER_ROLE_PRIVS。
|
SQL> create user test1 identified by 123456; 用户已创建。 SQL> grant role1 to test1 with admin option; 授权成功。 SQL> select * from dba_role_privs where grantee='TEST1'; GRANTEE GRANTED_ROLE ADM DEF ------------------------------ ------------------------------ --- --- TEST1 ROLE1 YES YES |
1.2 ANY
ANY：系统权限使用ANY关键字来给数据库下的所有对象赋予权限，使用ANY关键字赋予权限后，对象的访问权限不仅限于自身所在的SCHEMA，可以跨SCHEMA进行操作。
ANY: System privileges thatuse the ANY keywordenable
you to set privileges for an entire category of objects in the database. The behavior of an object created byusers with the ANY privilegeis
not restricted to the schema in which it was created.
1.3 PUBLIC
PUBLIC：PUBLIC是一种系统内置的角色，对PUBLIC赋予的权限，系统内的所用用户都可以获得。
PUBLIC:You can grant privileges to the PUBLIC role,which
then makes the privileges available to every user in the Oracle database.
1.4 WITH ADMIN OPTION
系统权限使用WITH ADMIN OPTION来制定被授权用户是否可以把获取到的权限转授给他人。
当权限回收时，转授他人的权限不会回收，不存在级联回收的情况。
1.5 授权需要的权限
能够授予和回收系统权限的用户包含以下两类：
l 通过WITH ADMIN OPTION获得权限的用户。
l 有GRANT ANY PRIVILEGE权限的用户。
2 对象权限
对象权限主要应用在表、视图、序列这些对象上。
l 在ORACLE中对应的主要的系统视图是：ALL_TAB_PRIVS、DBA_TAB_PRIVS、USER_TAB_PRIVS和ROLE_TAB_PRIVS。
l 对于设置了列权限的情况，对应的系统视图为：ALL_COL_PRIVS、USER_COL_PRIVS。
2.1 语法支持
首先创建两个用户user1和user2，并且分别授予CREATE SESSION权限，对USER1授予CREATE TABLE系统权限。
这时，user2是不能访问user1创建的表：
|
SQL> select * from user1.test; select * from user1.test * 第 1 行出现错误: ORA-00942: 表或视图不存在 |
通过授予对象权限，可以实现授权：
|
SQL> grant select on user1.test to user2 with grant option; 授权成功。 SQL> select * from dba_tab_privs where grantee='USER2'; GRANTEE OWNER ------------------------------ ------------------------------ TABLE_NAME GRANTOR ------------------------------ ------------------------------ PRIVILEGE GRA HIE ---------------------------------------- --- --- USER2 USER1 TEST USER1 SELECT YES NO |
并且授权后，能访问grantor表：
|
SQL> select * from user1.test; A ---------- 2 |
2.2 对象及权限
|
对象 |
权限 |
|
DIRECTORY |
READ、WRITE、EXECUTE |
|
EDITION |
USE |
|
INDEXTYPE |
EXECUTE |
|
FLASHBACK DATA ARCHIVE |
FLASHBACK ARCHIVE |
|
LIBRARY |
EXECUTE |
|
MATERIALIZED VIEW |
ON COMMIT REFRESH、QUERY REWRITE、SELECT |
|
MINING MODEL |
ALTER 、SELECT |
|
OBJECT TYPE |
DEBUG 、EXECUTE、UNDER |
|
OLAP |
INSERT、ALTER、DELETE、SELECT、UPDATE |
|
OPERATOR |
EXECUTE、DEBUG 、EXECUTE |
|
SCHEDULER |
EXECUTE、ALTER |
|
SEQUENCE |
ALTER 、SELECT |
|
SYNONYM |
和目标项权限相同 |
|
TABLE |
ALTER 、DEBUG、DELETE 、INDEX 、INSERT 、REFERENCES、 SELECT 、UPDATE |
|
VIEW |
DEBUG、DELETE 、INSERT 、MERGE VIEW、REFERENCES、SELECT 、UNDER、UPDATE |
按照ORACLE文档，去掉重复，对象权限主要包含如下18个权限：READ、WRITE、EXECUTE、USE、FLASHBACKARCHIVE、ON COMMITREFRESH、QUERY REWRITE、SELECT、ALTER 、DEBUG 、UNDER、INSERT、DELETE、UPDATE、INDEX 、REFERENCES 、UPDATE、MERGE VIEW。
在TABLE_PRIVILEGE_MAP中的对象权限会多于上述的数量，有26个，除了上述的权限外，还有AUDIT、COMMENT、GRANT、LOCK、RENAME、ENQUEUE、DEQUEUE、CREATE。
2.3 WITH GRANT OPTION
在ORACLE中，对象权限通过WITHGRANT OPTION来实现权限的转授，作用和WITHADMIN OPTION类似，但是在REVOKE权限时会发生级联撤销。这种权限通过基表中的单独一个属性来标识的，比如系统权限是通过sysauth$表中的OPTION#列来标识的。
ORACLE对系统权限的转授没有实现级联回收，也就是说用户A将权限转给用户B，用户B再将权限转给用户C，这时收回用户B的权限，而用户C的权限不会被收回。
ORACLE的对象权限的转授是可以实现级联回收的，即回收B用户的权限，C用户的权限也会被回收。要实现权限的级联回收，需要记录权限之间的分配关系，ORACLE由于是通过单独的表（objauth$）实现对象权限管理，表中的GRANTOR#列记录了权限的来源，所以可以通过GRANTOR#列将分配关系串联起来形成树的关系，在REVOKE权限时，通过广度优先遍历清除，即可以实现级联回收。
3 数据字典
Oracle中关于权限的系统视图。
3.1 系统权限映射
SYSTEM_PRIVILEGE_MAP：记录系统权限标识和权限名称的映射关系。
|
PRIVILEGE |
NUMBER |
权限标识 |
|
NAME |
VARCHAR2(40) |
权限名，负数 |
|
PROPERTY |
NUMBER |
？？？ |
该表的详细信息如下：
|
create table SYSTEM_PRIVILEGE_MAP sharing=object ( PRIVILEGE number not null, NAME varchar2(40) not null, PROPERTY number not null /* 0x01 = do not export this privilege */ /* using sql statements */ ) / comment on table SYSTEM_PRIVILEGE_MAP is 'Description table for privilege type codes. Maps privilege type numbers to type names' / comment on column SYSTEM_PRIVILEGE_MAP.PRIVILEGE is 'Numeric privilege type code' / comment on column SYSTEM_PRIVILEGE_MAP.NAME is 'Name of the type of privilege' / comment on column SYSTEM_PRIVILEGE_MAP.PROPERTY is 'Property flag of privilege like not export this privilege, etc' / insert into SYSTEM_PRIVILEGE_MAP values (-3, 'ALTER SYSTEM', 0); insert into SYSTEM_PRIVILEGE_MAP values (-4, 'AUDIT SYSTEM', 0); insert into SYSTEM_PRIVILEGE_MAP values (-5, 'CREATE SESSION', 0); insert into SYSTEM_PRIVILEGE_MAP values (-6, 'ALTER SESSION', 0); insert into SYSTEM_PRIVILEGE_MAP values (-7, 'RESTRICTED SESSION', 0); insert into SYSTEM_PRIVILEGE_MAP values (-10, 'CREATE TABLESPACE', 0); insert into SYSTEM_PRIVILEGE_MAP values (-11, 'ALTER TABLESPACE', 0); insert into SYSTEM_PRIVILEGE_MAP values (-12, 'MANAGE TABLESPACE', 0); …… create unique index I_SYSTEM_PRIVILEGE_MAP on SYSTEM_PRIVILEGE_MAP (PRIVILEGE, NAME) / create public synonym SYSTEM_PRIVILEGE_MAP for SYSTEM_PRIVILEGE_MAP / grant select on SYSTEM_PRIVILEGE_MAP to public with grant option / |
3.2 对象权限映射
TABLE_PRIVILEGE_MAP：记录对象权限和权限名的映射关系。
|
PRIVILEGE |
NUMBER |
权限标识 |
|
NAME |
VARCHAR2(40) |
权限名 |
该表的详细信息如下：
|
create table TABLE_PRIVILEGE_MAP sharing=object ( PRIVILEGE number not null, NAME varchar2(40) not null) / comment on table TABLE_PRIVILEGE_MAP is 'Description table for privilege (auditing option) type codes. Maps privilege (auditing option) type numbers to type names' / comment on column TABLE_PRIVILEGE_MAP.PRIVILEGE is 'Numeric privilege (auditing option) type code' / comment on column TABLE_PRIVILEGE_MAP.NAME is 'Name of the type of privilege (auditing option)' / insert into TABLE_PRIVILEGE_MAP values (0, 'ALTER'); insert into TABLE_PRIVILEGE_MAP values (1, 'AUDIT'); insert into TABLE_PRIVILEGE_MAP values (2, 'COMMENT'); insert into TABLE_PRIVILEGE_MAP values (3, 'DELETE'); insert into TABLE_PRIVILEGE_MAP values (4, 'GRANT'); insert into TABLE_PRIVILEGE_MAP values (5, 'INDEX'); insert into TABLE_PRIVILEGE_MAP values (6, 'INSERT'); insert into TABLE_PRIVILEGE_MAP values (7, 'LOCK'); insert into TABLE_PRIVILEGE_MAP values (8, 'RENAME'); insert into TABLE_PRIVILEGE_MAP values (9, 'SELECT'); insert into TABLE_PRIVILEGE_MAP values (10, 'UPDATE'); insert into TABLE_PRIVILEGE_MAP values (11, 'REFERENCES'); insert into TABLE_PRIVILEGE_MAP values (12, 'EXECUTE'); insert into TABLE_PRIVILEGE_MAP values (16, 'CREATE'); insert into TABLE_PRIVILEGE_MAP values (17, 'READ'); insert into TABLE_PRIVILEGE_MAP values (18, 'WRITE'); insert into TABLE_PRIVILEGE_MAP values (20, 'ENQUEUE'); insert into TABLE_PRIVILEGE_MAP values (21, 'DEQUEUE'); insert into TABLE_PRIVILEGE_MAP values (22, 'UNDER'); insert into TABLE_PRIVILEGE_MAP values (23, 'ON COMMIT REFRESH'); insert into TABLE_PRIVILEGE_MAP values (24, 'QUERY REWRITE'); insert into TABLE_PRIVILEGE_MAP values (26, 'DEBUG'); insert into TABLE_PRIVILEGE_MAP values (27, 'FLASHBACK'); insert into TABLE_PRIVILEGE_MAP values (28, 'MERGE VIEW'); insert into TABLE_PRIVILEGE_MAP values (29, 'USE'); insert into TABLE_PRIVILEGE_MAP values (30, 'FLASHBACK ARCHIVE'); create unique index I_TABLE_PRIVILEGE_MAP on TABLE_PRIVILEGE_MAP (PRIVILEGE, NAME) / create public synonym TABLE_PRIVILEGE_MAP for TABLE_PRIVILEGE_MAP / grant select on TABLE_PRIVILEGE_MAP to public with grant option |
3.3 系统权限基表
SYSAUTH$：ORACLE数据库的系统权限基表，不只是系统权限，角色->角色的权限授予也存在这个系统表。
|
属性 |
类型 |
描述 |
|
GRANTEE# |
NUMBER |
被授权的主用户 |
|
PRIVILEGE# |
NUMBER |
权限 |
|
SEQUENCE# |
NUMBER |
序号 |
|
OPTION# |
NUMBER |
系统权限，ADMIN OPTION |
其中的SEQUENCE#列使用的是sys_grant序列，表定义和序列定义如下：
|
create sequence system_grant /* system grant sequence number */ start with 1 increment by 1 minvalue 1 nomaxvalue cache 20 order nocycle create table sysauth$ /* system authorization table */ ( grantee# number not null, /* grantee number (user# or role#) */ privilege# number not null, /* role or privilege # */ sequence# number not null, /* unique grant sequence */ option$ number) /* null = none, 1 = admin option */ / create unique index i_sysauth1 on sysauth$(grantee#, privilege#) / |
3.4 系统权限的视图
DBA_SYS_PRIVS、USER_SYS_PRIVS：记录被授权的用户分配到的权限以及是否含有ADMIN OPTION。
|
属性 |
类型 |
描述 |
|
GRANTEE |
VARCHAR2(30) |
被授权的主用户 |
|
PRIVILEGE |
VARCHAR2(40) |
权限名 |
|
ADMIN_OPTION |
VARCHAR3(3) |
是否有admin option，yes or no |
3.5 对象权限基表
OBJAUTH$：对象权限基表。
|
属性 |
类型 |
描述 |
|
OBJ# |
NUMBER |
对象 |
|
GRANTOR# |
NUMBER |
授权者 |
|
GRANTEE# |
NUMBER |
被授权对象 |
|
PRIVILEGE# |
NUMBER |
权限 |
|
SEQUENCE# |
NUMBER |
序号 |
|
PARENT |
NUMBER |
？？？ |
|
OPTION# |
NUMBER |
WITH GRANT OPTION |
|
COL# |
NUMBER |
列权限 |
其中的SEQUENCE#列使用的是object_grant列，表定义和序列定义如下：
|
create sequence object_grant /* object grant sequence number */ start with 1 increment by 1 minvalue 1 nomaxvalue cache 20 order nocycle / create table objauth$ /* table authorization table */ ( obj# number not null, /* object number */ grantor# number not null, /* grantor user number */ grantee# number not null, /* grantee user number */ privilege# number not null, /* table privilege number */ sequence# number not null, /* unique grant sequence */ parent rowid, /* parent */ option$ number, /* null = no options */ /* 0x01 = grant option */ /* 0x02 = hierarchy option */ col# number) /* null = table level, column id if column grant */ / create unique index i_objauth1 on objauth$(obj#, grantor#, grantee#, privilege#, col#) / create index i_objauth2 on objauth$(grantee#, obj#, col#) |
3.6 对象权限视图
ALL_TAB_PRIVS、DBA_TAB_PRIVS、USER_TAB_PRIVS：记录对象权限中的对象、权限之间的对应关系。
ALL_TAB_PRIVS_MADE和ALL_TAB_PRIVS_RECD的属性也和下表类似。
|
属性 |
类型 |
描述 |
|
GRANTOR |
VARCHAR2(30) |
授权者 |
|
GRANTEE |
VARCHAR2(30) |
获得授权 |
|
TABLE_SCHEMA |
VARCHAR2(30) |
对象所属schema |
|
TABLE_NAME |
VARCHAR2(30) |
对象名 |
|
PRIVILEGE |
VARCHAR2(40) |
权限名 |
|
GRANTABLE |
VARCHAR2(3) |
GRANT OPTION, YES OR NO |
|
HIERARCHY |
VARCHAR2(3) |
|
ALL_COL_PRIVS、USER_COL_PRIVS：列与对象权限之间的对应关系。
ALL_COL_PRIVS_MADE和ALL_COL_PRIVS_RECD的属性也和下表类似。
|
属性 |
类型 |
描述 |
|
GRANTOR |
VARCHAR2(30) |
授权者 |
|
GRANTEE |
VARCHAR2(30) |
获得授权 |
|
TABLE_SCHEMA |
VARCHAR2(30) |
对象所属schema |
|
TABLE_NAME |
VARCHAR2(30) |
对象名 |
|
COLUMN_NAME |
VARCHAR2(30) |
列名 |
|
PRIVILEGE |
VARCHAR2(40) |
权限名 |
|
GRANTABLE |
VARCHAR2(3) |
GRANT OPTION, YES OR NO |
3.7 角色相关
USER_ROLE_PRIVS：记录了哪一个角色被授予给当前用户。
|
属性 |
类型 |
描述 |
|
USERNAME |
VARCHAR2(30) |
用户 |
|
GRANTED_ROLE |
VARCHAR2(30) |
角色 |
|
ADMIN_OPTION |
VARCHAR2(3) |
系统权限，ADMIN OPTION |
|
DEFAULT_ROLE |
VARCHAR2(3) |
|
|
OS_GRANTED |
VARCHAR2(3) |
|
DBA_ROLE_PRIVS：记录了所有的ROLE->USER的映射关系。
|
属性 |
类型 |
描述 |
|
GRANTEE |
VARCHAR2(30) |
用户或角色 |
|
GRANTED_ROLE |
VARCHAR2(30) |
角色 |
|
ADMIN_OPTION |
VARCHAR2(3) |
系统权限，ADMIN OPTION |
|
DEFAULT_ROLE |
VARCHAR2(3) |
|
ROLE_ROLE_PRIVS：记录了角色之间的授予关系。
ROLE_SYS_PRIVS：记录了角色获得的系统权限。
ROLE_TAB_PRIVS：记录了角色获得的对象权限。
3.8 其他
SESSION_PRIVS：会话内当前用户的系统权限。SESSION_ROLES：会话内当前用户的所有角色。