oracle对象的授权
Oracle授权
一、授权语法
GRANT语法:
1.显式授权(直接将对象授权给用户)
GRANT privilege [, ...] ON object [, ...] TO { Public| Group | Username|role} [WITH GRANT OPTION ]
例子grant read,write on directory dir_home to public
2.隐式授权(通过将角色授权给用户)
GRANT role TO { Public| Group | Username|role}
例子grant connect,resource to oltp_user
语法说明:
privilege (权限)
可能的权限有:
SELECT--访问声明的表/视图的所有列/字段.
INSERT—对声明的表插入所有列/字段.
UPDATE—对声明的表更新所有列/字段.
DELETE--对声明的表删除所有列/字段.
RULE --表/视图上定义规则 (参见CREATE RULE语句).
ALL --赋予所有权限.
object赋予权限的对象名.
可能的对象是:
table(表)
view(视图)
sequence(序列)
index(索引)
directory(目录)
Public 代表是所有用户的简写.
Group 将要赋予权限的组GROUP.目前的版本中,组必须是用下面方法显式创建的.
Username将要赋予权限的用户名.PUBLIC是代表所有用户的简写.
role 某个角色,(如DBA connect resource)
WITH GRANT OPTION允许向别人赋予同样权限,被授权的用户可以继续授权.
描述
对象创建后,除了创建者外,除非创建者赋予(GRANT)权限,其他人没有访问对象的权限。
本栏目更多精彩内容:http://www.bianceng.cnhttp://www.bianceng.cn/database/Oracle/
GRANT允许对象的创建者给某用户或某组或所有用户(PUBLIC)某些特定的权限。不需要给创建者赋予(GRANT)对象的权限,创建者默认拥有对象的所有权限,包括删除它的权限。
说明
Oracle不允许在存储过程中使用未经显式授权的对象.要使用另一用户的对象,必须通过另一用户给自己显示授权。
因为Oracle在编译存储过程时并不检查定义者拥有的角色,只是检查其被显式授予的权限,而DBA也是一种角色,所以即使是DBA,也需要显式授权。
二、授权方式(显式和隐式)
对象授权有两种模式,显式和隐式:
显示授权和隐式授权的区别是:显式授权是直接把对象授权给用户,隐式授权是给用户授予角色的方式来实现授权。
1.显式授权是直接用GRANT语句进行授权。
语法:GRANT某种权限TO用户
如:
CONN USER1/Password
GRANT SELECT ON TABLE1 TO USER2; 将user1的表TABLE1的select权限显示授权给user2
GRANT UPDATE ON TABLE1 TO USER2; 将user1的表TABLE1的update权限显示授权给user2
注:用system/manager登录是没法授权的,要使USER2用户能在存储过程里面访问USER1用户的表,必须以USER1用户(该用户有dba权限)登录,然后授权就可以了。
SQL>grant select on USER1.MA_USERINFO to USER2
2.隐式授权则是通过ROLE来授权。
语法:GRANT某个角色TO用户
如:
CONN USER1
GRANT SELECT ON TABLE1 TO ROLE1; 将USER1的表TABLE1的select权限显示授权给Role1
CONN SYSTEM 切换成管理员授予角色
GRANT ROLE1 TO USER2; 给USER2授与Role1的权限。
三、收回权限
语法:
显式收权: revoke权限from用户; 从用户中收回权限
隐式收权: Revoke角色 from用户; 从用户中收回角色
例子:
revoke privilege1 from USER2; 从用户中收回权限
revoke select on table1 from User1; 收回查询select表的权限
revokeall on table1 from User1; 从用户user1中收回表table1的所有权限
revoke ROLE1 from USER2; 从用户中收回角色
grant connect to xujin; 对用户xujin授予connect角色
revoke connect from xujin 从用户xujin收回connect角色
End
Author:51cto博客 Oracle小混子