Oracle handbook系列之虛擬專用數據庫VPD的使用是本文我們主要要介紹的內容，VPD，Oracle Virtual Private Database，即Oracle虛擬專用數據庫，是指通過應用一些策略，使得用戶只能訪問被允許訪問的那部分數據。其原理相對簡單，Oracle根據策略自動為相應用戶提交的語句添加Where句，從而控制用戶可以訪問和操作的數據。

首先我們準備演示用的幾張表，并插入少量的測試數據：

CREATETABLEvpdsample_clothing(  
clothing_idNUMBER,  
typeVARCHAR2(30),  
brandVARCHAR2(30),  
descriptonVARCHAR2(100)  
);  
--  
INSERTINTOvpdsample_clothingVALUES(10002,'jacket','ABC','autumnstyle');  
INSERTINTOvpdsample_clothingVALUES(10003,'t-shirt','XYZ','summerstyle');  
commit;  
CREATETABLEvpdsample_books(  
book_idNUMBER,  
nameVARCHAR2(30),  
authorVARCHAR2(20)  
);  
--  
INSERTINTOvpdsample_booksVALUES(10005,'CountryDriving','PeterHessler');  
INSERTINTOvpdsample_booksVALUES(10006,'Lifewithoutlimits','NickVujicic');  
commit; 

（以上兩個表模擬一個簡單的庫存情況，庫中有兩類物品，服裝、圖書。這里我們需要滿足兩個表中的ID的唯一性（可以通過sequence來實現）。）

CREATETABLEvpdsample_users(  
user_nameVARCHAR2(20),  
user_privilegeNUMBER  
);  
--  
INSERTINTOvpdsample_usersVALUES('Jack',1);  
INSERTINTOvpdsample_usersVALUES('Rose',2);  
COMMIT; 

（這個表存儲用戶的權限信息，其中的權限即后表vpdsample_privileges中的權限ID字段。）

（這個表存儲每個權限ID對應的權限信息，即對哪些對象（服裝或圖書）有權限。）

第二步，我們要創建一個context（實際上是【context名稱空間】）。可以簡單地把context理解為一個定義在內存中的容器，在此容器中我們可以定義若干個鍵值對，這些鍵值對可以在一定的范圍內被共享（比如同一個session中，或者同一個Oracle實例中）

首先，使用system用戶登錄，賦予創建者相應的權限：grant create any context to user1;然后通過：CREATE OR REPLACE CONTEXT VPD USING pkg_vpdsample ACCESSED GLOBALLY;這里我們創建了一個叫’vpd’的context，’using’后面的是一個PLSQL package的名字，出于安全性考慮，Oracle需要你在創建context時指定一個包名，表示后續對些context的修改只能通過此包中的存儲過程進行修改，不能通過dbms_session.set_context()直接進行修改。創建context時，package不存在并不會導致編譯錯誤。

最后’accessed globally’是一個可選項，如果未添加此項，表示此context使用范圍是某一session；如果指定了此項，則表示該context可以在整個數據庫實例范圍內共享。

欲刪除context同樣需要賦予相應的權限：

grant drop any context to user1;  
drop context VPD; 

第三步，建立一個package（即上面的pkg_vpdsample），包中的各個函數及存儲過程的作用會隨后逐一給出：

CREATEORREPLACEPACKAGEpkg_vpdsample  
IS  
PROCEDUREenable_vpd;  
PROCEDUREdisable_vpd;  
PROCEDUREset_context(p_user_nameINVARCHAR2);  
FUNCTIONgen_vpd_predicate(p_column_nameINVARCHAR2)RETURNVARCHAR2;  
FUNCTIONapply_vpd_clothing(p1invarchar2,p2invarchar2)RETURNVARCHAR2;  
FUNCTIONapply_vpd_books(p1invarchar2,p2invarchar2)RETURNVARCHAR2;  
END;  
 
CREATEORREPLACEPACKAGEBODYpkg_vpdsampleIS  
PROCEDUREenable_vpdIS  
BEGIN  
DBMS_SESSION.set_context(namespace=>'VPD',  
attribute=>'ENABLE',  
value=>'1');  
END;  
 
/*======================*/  
PROCEDUREdisable_vpdIS  
BEGIN  
DBMS_SESSION.set_context(namespace=>'VPD',  
attribute=>'ENABLE',  
value=>'0');  
END;  
 
/*======================*/  
PROCEDUREset_context(p_user_nameINVARCHAR2)IS  
l_privilegeVARCHAR2(10);  
BEGIN  
SELECTuser_privilege  
INTOl_privilege  
FROMvpdsample_users  
WHEREuser_name=p_user_name;  
DBMS_SESSION.set_identifier(client_id=>l_privilege);  
END;  
 
/*======================*/  
FUNCTIONgen_vpd_predicate(p_column_nameINVARCHAR2)RETURNVARCHAR2IS  
l_vpd_flagVARCHAR2(1);  
l_privilegeVARCHAR2(10);  
BEGIN  
l_vpd_flag:=NVL(SYS_CONTEXT('VPD','ENABLE'),'0');  
IFl_vpd_flag=0THEN 
RETURNNULL;  
ELSE  
l_privilege:=SYS_CONTEXT('USERENV','CLIENT_IDENTIFIER');  
IFl_privilegeISNULLTHEN  
RETURN'1=2';  
ELSE  
RETURNp_column_name||'IN(SELECTobject_idFROMvpdsample_privilegesWHEREprivilege_id='||l_privilege||')';  
ENDIF;  
ENDIF;  
END;  
 
/*======================*/  
FUNCTIONapply_vpd_clothing(p1invarchar2,p2invarchar2)RETURNVARCHAR2IS  
BEGIN  
RETURNgen_vpd_predicate('clothing_id');  
END;  
 
/*======================*/  
FUNCTIONapply_vpd_books(p1invarchar2,p2invarchar2)RETURNVARCHAR2IS  
BEGIN  
RETURNgen_vpd_predicate('book_id');  
END;  
END; 

enable_vpd,disable_vpd：這兩個存儲過程用于設置context vpd下的一個自定義屬性’enable’，1表是啟用vpd，0表禁用vpd，由于我們在創建此context時指定了accessed globally，所以這些屬性是可以被跨session訪問的。這兩個存儲過程調用了dbms_session，因此需要被賦予相應的權限：grant execute on dbms_session to user1;

set_context：上面我們提到了context，并且在enable_vpd與disable_vpd中使用了dbms_session.set_context來設置自定義的屬性，其實除了這樣自定義的context外，Oracle還提供了預定義的context ’userenv’，該名稱空間下有若干預定義的屬性，比如’client_identifier’，設置此屬性我們不使用set_context，而是使用dbms_session.set_identifier()。

本例中此存儲過程根據傳入的用戶名，查找到該用戶的權限ID，并將此ID作為client_identifier保存到context ’userenv’中，以便后續使用。在實際應用中，此存儲過程應該是由外部的應用程序調用的，應用程序可以在登錄驗證完成后，調用此存儲過程寫入context。

gen_vpd_predicate：根據傳入的字段名稱生成一個語法正確的where子句。這里首先判斷了是否啟用了vpd，未設置vpd.enable屬性的也認為的已經啟用了。隨后判斷是否已設置userenv.client_identifier屬性，如果未設置，則返回一個始終為false的where子句以防止用戶查看數據。最后生成的語句中，根據取到的client_identifier（即用戶的權限ID）查找權限表vpdsample_privileges得到該用戶有權限的所有對象ID。

apply_vpd_clothing, apply_vpd_books：由名字可見，這兩個函數將被用于兩個不同的表，因為服裝表與圖書表所用于權限驗證的字段有著不同的名字。另外，大家可以看到這兩個將被用于vpd的函數都有兩個看似沒用的參數p1與p2，這是vpd接口的要求，第一個用于接收schema名，第二個用于接收table/view/synonym名稱，我們定義函數必須符合接口的要求。當然除了p1,p2外，你可以有自己額外的參數。

一切準備完畢，開始調用Oracle提供的dbms_rls包應用vpd策略，在調用之前，需要賦予用戶相應權限：grant execute on dbms_rls to user1;

其中policy_name可以自定義。

隨后我們啟用vpd：（需要說明的是，DBMS_RLS包本身有ENABLE_POLICY()方法用于啟用或禁用一個vpd策略，但它只能一次啟用/禁用一張表上的一個vpd策略，為了一次性啟用/禁用所有表上的vpd策略，可以采取類似上面的做法。）并設置context：隨后我們查詢vpdsample_clothing表，只返回了ID為10002的服裝信息；查詢vpdsample_books也類似，只返回了ID為10005的圖書信息。可以更換用戶，刪除vpd策略則使用：

begin  
dbms_rls.drop_policy(object_name=>'VPDSAMPLE_CLOTHING',policy_name=>'POL_CLOTHING');  
dbms_rls.drop_policy(object_name=>'VPDSAMPLE_BOOKS',policy_name=>'pol_books');  
end;  
 
begin  
pkg_vpdsample.set_context('Rose');  
end;  
 
begin  
pkg_vpdsample.set_context('Jack');  
end;  
 
begin  
pkg_vpdsample.enable_vpd;  
end; 

關于Oracle handbook系列之虛擬專用數據庫VPD的相關知識就介紹到這里了，希望本次的介紹能夠對您有所收獲！

【編輯推薦】

1. Oracle 10g內存結構之系統全局區簡介
2. Oracle數據庫中行轉列以及Join用法總結
3. Oracle regexp_like的相關知識及使用示例
4. Oracle 10g內存結構之共享池的相關知識及使用簡介
5. Oracle 10g內存結構之排序區和Java池的相關知識簡介