но я не могу дать права на эту view из за того что у USER_SESSION
нет прав на root.core
Не совсем так, даже если дать права USER_SESSION
на root.core
, то дать права на представлениие не получится. Попробуем на простом примере. Допустим, есть следующие пользователи с минимальными правами:
create user a identified by a
/
create user b identified by b
/
create user c identified by c
/
grant create session, create procedure to a;
grant create session, create view to b;
grant create session to c;
Пользователь A создаёт функцию и даёт права на выполнение B и C, а пользователь B создаёт представление:
conn a/a@&_connect_identifier
create function foo (c char) return char is begin return c; end;
/
grant execute on foo to b,c;
conn b/b@&_connect_identifier
create or replace view bar as select a.foo ('bar') foo from dual;
Теперь, пользователь C может запустить функцию foo
, но ещё не видит представление bar
:
conn c/c@&_connect_identifier
select a.foo ('iam c') foo from dual;
FOO
-----------
iam c
select * from b.bar
*
ERROR at line 1:
ORA-00942: table or view does not exist
Пользователь B пробует дать права на представление пользователю C:
conn b/b@&_connect_identifier
grant select on bar to c;
grant select on bar to c
*
ERROR at line 1:
ORA-01720: grant option does not exist for 'A.FOO'
Но он не может дать права на своё представление, которое содержит чужие объекты, даже если пользователъ, которому выделяются парава, имет прямой доступ к этим чужим объектам.
Поэтому, сделаем теперь всё правильно, отзовём прямые права на foo
у пользователя C, а дадим право пользователю B давать права на foo
другим пользователям:
conn a/a@&_connect_identifier
revoke execute on foo to c;
grant execute on foo to b with grant option;
conn b/b@&_connect_identifier
grant select on bar to c;
В итоге, пользователь C может делать только то, что от него ожидалось:
conn c/c@&_connect_identifier
select a.foo ('iam c') foo from dual;
select a.foo ('iam c') foo from dual
*
ERROR at line 1:
ORA-00904: "A"."FOO": invalid identifier
select * from b.bar;
FOO
--------------------------------------------------------------------------------
bar
GetIdUser
?oracle rls policy
. Хотя с ними тоже куча мороки, но они точно обеспечивают безопасность того уровня, что вы хотите