oracle 权限管理

1.ORACLE的CONNECT和RESOURCE角色权限

一般情况下，在新建数据库用户后，都会习惯性的给用户授权CONNECT角色和RESOURCE角色：

GRANT connect,resource TO 用户;

CONNECT角色：仅具有创建SESSION的权限
RESOURCE角色：仅具有创建CLUSTER,INDEXTYPE,OPERATOR,PROCEDEURE,SEQUENCE,TABLE,TRIGGER,TYPE的权限。同时，当把ORACLE resource角色授予一个user的时候，不但会授予ORACLE resource角色本身的权限，而且还有unlimited tablespace权限，但是，当把resource授予一个role时，就不会授予unlimited tablespace权限。

2.为用户赋权访问对象

GRANT privilege[, ...] ON object[, ...] TO { PUBLIC | GROUP group| username}

2.1表访问权限的赋予和收回：

可以操作的权限：

select：查询
insert：插入
update：更新
delete：删除
all:所有权限

给用户授予或收回查询、插入、更新tablename表的权限

grant select,insert,update on tablename to userA; --赋权给用户：userA
grant select,insert,update on tablename to public; --赋权给所有用户

revoke select,insert,update on tablename from userA; --收回给予的权限从用户：userA
revoke select,insert,update on tablename from public; --收回给予的权限从所有用户

同样适用于：

view：视图
sequence：序列
index：索引

2.2 package,procedure,function权限的赋予和收回：

可以操作的权限：

1、with admin option

with admin option的意思是被授予该权限的用户有权将某个权限(如create any table)授予其他用户或角色，取消是不级联的。
如授予A系统权限create session with admin option,然后A又把create session权限授予B,但管理员收回A的create session权限时，B依然拥有create session的权限。但管理员可以显式收回B create session的权限，即直接revoke create session from B.

2、with grant option
with grant option的意思是：权限赋予/取消是级联的，如将with grant option用于对象授权时，被授予的用户也可把此对象权限授予其他用户或角色，不同的是但管理员收回用with grant option授权的用户对象权限时，权限会因传播而失效，如grant select on table with grant option to A,A用户把此权限授予B，但管理员收回A的权限时，B的权限也会失效，但管理员不可以直接收回B的SELECT ON TABLE 权限。

最后：一个实例

1) 创建三个用户，并给予如下权限：

create user userA identified by pwd;
create user userB identified by pwd;
create user userC identified by pwd;
grant connect,resource to userA;
grant connect,resource to userB;
grant connect,resource to userC;

2)用户A下：

建表并插入一条记录：

create table tba(i number);
insert into tba values(1);
commit;

将表的权限分配给用户B：

grant select,update on tba to userb

3)用户B下：

执行如下语句：

select * from usera.tba;　--执行成功
grant select,update on usera.tba to userc; --出错：ora-01031:权限不足。

说明uesrb有访问usera的权限，查不能把权限赋给userc

现在创建一个存储过程

create or replace procedure pr_update_tba(v_i_n number) is
BEGIn
   update usera.tba set i=v_i_n;
   commit;
END;

执行存储过程并查看tba的数据：

call pr_update_tba(3);
select * from usera.tba

结果看到tba的数据已经变为3，现在把存储过程的权限赋给userc

grant execute on pr_update_tba to userc;

4)用户C下：

select * from usera.tba; --提示表不存在，说明没有权限
update usera.tba set i=0; --提示表不存在，说明没有权限

说明userc并没有usera.tba的select和update权限。

再执行：

call userb.pr_update_tba(9); --执行成功

结论：userB 拥有userA.tba的访问权限，但他不可以直接把这个权限赋予userc,却可以通过打包存储过程，间接的将这个权限赋予userc(当然仅在存储过程内部有效).