第一步：创建数据库用户
在授予权限之前,必须先有一个用户账户，创建用户通常由具有DBA（数据库管理员）或CREATE USER系统权限的用户（如SYSTEM或SYS）来执行。
创建用户的基本语法非常简洁：
CREATE USER 用户名 IDENTIFIED BY 密码;
要创建一个名为app_user，密码为P@ssw0rd123的用户，可以执行：
CREATE USER app_user IDENTIFIED BY P@ssw0rd123;
仅仅创建用户是不够的,该用户默认没有任何权限，甚至无法登录数据库，创建用户时通常会附带一些基本设置，以完善其资源限制和存储位置。
| 子句 | 描述 | 示例 |
|---|---|---|
DEFAULT TABLESPACE | 指定用户创建对象（如表、索引）时默认使用的表空间。 | DEFAULT TABLESPACE USERS |
TEMPORARY TABLESPACE | 指定用户执行排序、哈希连接等临时操作时使用的临时表空间。 | TEMPORARY TABLESPACE TEMP |
QUOTA | 限制用户在特定表空间中可以使用的磁盘空间大小。 | QUOTA 100M ON USERS |
PROFILE | 为用户指定一个资源限制文件，用于控制密码策略、会话资源等。 | PROFILE DEFAULT |
一个更完整的创建用户示例如下：
CREATE USER app_user IDENTIFIED BY P@ssw0rd123 DEFAULT TABLESPACE USERS TEMPORARY TABLESPACE TEMP QUOTA 500M ON USERS PROFILE DEFAULT;
第二步：理解权限的类型
Oracle数据库中的权限主要分为两大类：系统权限和对象权限。
系统权限
系统权限允许用户执行特定的数据库级操作,或管理某一类型的对象，它们不针对某个特定的对象，而是影响整个数据库系统。
常见的系统权限包括：
CREATE SESSION: 连接到数据库并建立会话，这是用户登录所必需的最基本权限。CREATE TABLE: 在自己的模式下创建表。CREATE VIEW: 在自己的模式下创建视图。CREATE PROCEDURE: 在自己的模式下创建存储过程、函数。CREATE USER: 创建其他用户。DROP ANY TABLE: 删除数据库中任何模式下的表。UNLIMITED TABLESPACE: 在所有表空间上使用无限制的存储空间（权限极大，需谨慎授予）。
对象权限
对象权限允许用户对特定的数据库对象（如表、视图、序列、存储过程等）执行特定操作，这些权限是针对具体对象的。
常见的对象权限包括：
SELECT: 查询表、视图或序列。INSERT: 向表中插入数据。UPDATE: 更新表中的数据。DELETE: 从表中删除数据。EXECUTE: 执行存储过程、函数或包。INDEX: 在表上创建索引。REFERENCES: 创建外键约束，引用表的主键或唯一键。
第三步：授予权限
权限的授予通过GRANT命令完成。
授予系统权限
语法：GRANT 系统权限1, 系统权限2, ... TO 用户名;
授予app_user登录数据库和创建表的权限：
GRANT CREATE SESSION, CREATE TABLE TO app_user;
授予对象权限
语法：GRANT 对象权限1, 对象权限2, ... ON 模式名.对象名 TO 用户名;
假设有一个hr模式下的employees表，现在允许app_user查询和插入该表的数据：
GRANT SELECT, INSERT ON hr.employees TO app_user;
使用WITH GRANT OPTION
在授予权限时,可以附加WITH GRANT OPTION子句，这使得接收权限的用户不仅可以使用该权限，还可以将这个权限再授予其他用户。
GRANT SELECT ON hr.employees TO app_user WITH GRANT OPTION;
注意：WITH GRANT OPTION是一个非常强大的选项，可能导致权限链失控，应仅在必要时谨慎使用。
第四步：通过角色简化权限管理
当用户数量增多,权限需求变得复杂时，直接为每个用户授予大量权限会变得难以管理，角色是解决这一问题的利器，它是一个权限的集合，可以将权限授予角色，再将角色授予用户。
使用预定义角色
Oracle提供了一些预定义角色,方便快速分配常用权限集合：
CONNECT: 提供基本的连接权限，早期版本包含CREATE SESSION、CREATE TABLE等，现代版本权限已大幅削减，主要就是CREATE SESSION。RESOURCE: 提供创建自己对象的权限，如CREATE TABLE,CREATE PROCEDURE等。DBA: 拥有几乎所有的系统权限，是超级管理员角色。
快速给一个开发者用户基本权限：
GRANT CONNECT, RESOURCE TO app_user;
创建和使用自定义角色
最佳实践是创建自定义角色,以实现更精细的权限控制。
-- 1. 创建一个角色 CREATE ROLE app_readonly_role; -- 2. 将查询权限授予该角色 GRANT SELECT ON hr.employees TO app_readonly_role; GRANT SELECT ON hr.departments TO app_readonly_role; -- 3. 将角色授予用户 GRANT app_readonly_role TO app_user;
通过角色,当需要调整一批用户的权限时，只需修改角色的权限即可，所有被授予该角色的用户权限都会自动更新，极大地提高了管理效率。
第五步：查看与撤销权限
查看权限
可以通过查询数据字典视图来查看权限信息：
USER_SYS_PRIVS: 查看当前用户拥有的系统权限。USER_TAB_PRIVS: 查看当前用户拥有的对象权限（作为被授予者）。ROLE_SYS_PRIVS: 查看当前用户通过角色拥有的系统权限。SESSION_ROLES: 查看当前会话激活的角色。
-- 查看app_user用户的系统权限 SELECT * FROM DBA_SYS_PRIVS WHERE GRANTEE = 'APP_USER';
撤销权限
使用REVOKE命令可以撤销已授予的权限，其语法与GRANT类似。
-- 撤销系统权限 REVOKE CREATE TABLE FROM app_user; -- 撤销对象权限 REVOKE INSERT ON hr.employees FROM app_user; -- 撤销角色 REVOKE app_readonly_role FROM app_user;
撤销权限时,如果该权限是通过WITH GRANT OPTION被授予了其他用户，那么从原始授予者处撤销权限，所有下游用户的该权限也会被级联撤销。
相关问答FAQs
问题1：直接授予系统权限和使用角色（如CONNECT, RESOURCE）有什么区别？最佳实践是什么？
解答：直接授予系统权限的方式更加精确和灵活，可以按需分配，遵循“最小权限原则”，这是现代数据库安全管理的最佳实践，而使用CONNECT和RESOURCE等预定义角色则是一种快捷方式，但可能授予了用户超出其需求的权限。RESOURCE角色包含了CREATE CLUSTER, CREATE TYPE等许多开发者可能用不到的权限，最佳实践是避免直接使用这些宽泛的预定义角色，而是创建自定义角色，根据用户的具体工作职责（如只读用户、数据录入员、报表开发者）精确地授予必要的权限，再将自定义角色分配给用户，这样做既安全又便于审计和维护。
问题2：我已经授予了一个用户SELECT权限，但他查询表时仍然报错“表或视图不存在”，可能是什么原因？
解答：这个问题通常由以下几个原因造成：
：用户首先需要能连接到数据库，请确认该用户已被授予 CREATE SESSION系统权限。- 模式名前缀缺失：如果用户查询的表不属于他自己的默认模式，他必须在表名前加上模式（用户）名作为前缀。
app_user查询hr模式下的employees表，应使用SELECT * FROM hr.employees;，而不是SELECT * FROM employees;。 - 同义词问题：为了方便，可以创建一个公共同义词来隐藏模式名，如果希望用户直接使用
employees，需要由DBA或hr用户执行CREATE PUBLIC SYNONYM employees FOR hr.employees;。 - 权限未正确授予：请再次检查
GRANT语句是否正确执行，并且是授予了正确的用户，可以通过查询DBA_TAB_PRIVS视图来确认权限是否存在。
【版权声明】：本站所有内容均来自网络，若无意侵犯到您的权利，请及时与我们联系将尽快删除相关内容!
发表回复