0

Есть клиентское приложение, которое соединяется с БД (12c) всегда через пользователя USER_SESSION, и у него есть права на специальную ф-ию "авторизация" которая в случае успеха присваивает переменной id_user (сессионная переменная в ДРУГОМ пакете), к которому нет прав у USER_SESSION пользователя.

Есть следующее представление:

select * from xxx where id_user = root.core.GetIdUser;

Где: root.core.GetIdUser ф-ия для получения id_user. Сделано это для того, чтобы USER_SESSION мог выбрать только свои записи. Но я не могу дать права на это паредставление из-за того, что у USER_SESSION нет прав на root.core.

Как быть? Дать права на root.core не могу, так как тогда можно будет подделать id_user. Пароль от USER_SESSION теоретически не известен пользователю клиента, но можно вскрыть .exe, получить пароль и конектиться к БД через PL/SQL Developer.

7
  • я немножко запутался. А разве если у пользователя есть право вызвать пакет, то у него же нет возможности и поменять значение переменной в этом пакете перед вызовом GetIdUser ?
    – Viktorov
    Commented 19 сент. 2019 в 19:12
  • как альтернатива, вы можете попробовать настроить oracle rls policy. Хотя с ними тоже куча мороки, но они точно обеспечивают безопасность того уровня, что вы хотите
    – Viktorov
    Commented 19 сент. 2019 в 19:13
  • Пакет вызывает вьюха а пользователь не может напрямую вызвать пакет.
    – Sergey Zzz
    Commented 19 сент. 2019 в 19:14
  • на самом деле главный вопрос, который вам стоит себе задать. А вам вообще действительно нужна такая безопасность? вы ждете, что пользователи будут сами sql писать?
    – Viktorov
    Commented 19 сент. 2019 в 19:15
  • Если хоть один пользователь (а он всегда найдётся) начнёт сам "писать sql" то пострадают многие другие и не хотелось бы допускать такую возможность.
    – Sergey Zzz
    Commented 19 сент. 2019 в 19:23

1 ответ 1

2

но я не могу дать права на эту view из за того что у USER_SESSION нет прав на root.core

Не совсем так, даже если дать права USER_SESSION на root.core, то дать права на представлениие не получится. Попробуем на простом примере. Допустим, есть следующие пользователи с минимальными правами:

create user a identified by a
/
create user b identified by b
/
create user c identified by c
/
grant create session, create procedure to a;
grant create session, create view to b;
grant create session to c;

Пользователь A создаёт функцию и даёт права на выполнение B и C, а пользователь B создаёт представление:

conn a/a@&_connect_identifier

create function foo (c char) return char is begin return c; end;
/
grant execute on foo to b,c; 

conn b/b@&_connect_identifier
create or replace view bar as select a.foo ('bar') foo from dual;

Теперь, пользователь C может запустить функцию foo, но ещё не видит представление bar:

conn c/c@&_connect_identifier
select a.foo ('iam c') foo from dual;

FOO
-----------
iam c

select * from b.bar
                *
ERROR at line 1:
ORA-00942: table or view does not exist

Пользователь B пробует дать права на представление пользователю C:

conn b/b@&_connect_identifier
grant select on bar to c;
grant select on bar to c
                *
ERROR at line 1:
ORA-01720: grant option does not exist for 'A.FOO'

Но он не может дать права на своё представление, которое содержит чужие объекты, даже если пользователъ, которому выделяются парава, имет прямой доступ к этим чужим объектам.

Поэтому, сделаем теперь всё правильно, отзовём прямые права на foo у пользователя C, а дадим право пользователю B давать права на foo другим пользователям:

conn a/a@&_connect_identifier
revoke execute on foo to c;
grant execute on foo to b with grant option;

conn b/b@&_connect_identifier
grant select on bar to c;

В итоге, пользователь C может делать только то, что от него ожидалось:

conn c/c@&_connect_identifier
select a.foo ('iam c') foo from dual;
select a.foo ('iam c') foo from dual
       *
ERROR at line 1:
ORA-00904: "A"."FOO": invalid identifier

select * from b.bar;

FOO
--------------------------------------------------------------------------------
bar

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.