2.oracle的權限管理
oracle數據庫有最重要的兩個(gè)用戶(hù)，sys 和 system，sys擁有最高權限。
oracle權限分為兩種：一種是系統權限 ，一種是對象權限。
下面簡(jiǎn)單的演示一下，用system用戶(hù)登錄并創(chuàng )建test用戶(hù)
現在用新創(chuàng )建的這個(gè)用戶(hù)登錄
提示沒(méi)有create session權限。
說(shuō)明：新創(chuàng )建的用戶(hù)沒(méi)有任何權限，連登錄數據庫的權限都沒(méi)有
現在依舊用system用戶(hù)為test用戶(hù)賦予登錄權限
授權過(guò)后就可以登錄了，現在創(chuàng )建表試試
依舊是權限不足，沒(méi)有創(chuàng )建表的權限，又必須要管理員為其賦予創(chuàng )建表的權限。由于篇幅問(wèn)題，這里就不演示了。
用戶(hù)可以用“select * from session_privs;”查詢(xún)自己擁有的權限。關(guān)于權限的查詢(xún)可以看下“http://hi.baidu.com/jason_xux/item/f970db14f772caf386ad4e46”。
到這兒想必大家知道權限是怎么一回事了吧。
(1)系統權限和對象權限
關(guān)于系統權限，顧名思義就是對系統一些操作的權限，比如剛剛的登錄的'create session’就是一種系統權限，'create table’'create user’等都是一些比較常見(jiàn)的系統權限。
對象權限就是對對象的權限，當然這句是廢話(huà)，呵呵，所謂對象就是'表’ '存儲過(guò)程’之類(lèi)的。對象歸創(chuàng )建者所有，但是你要想要其他用戶(hù)可以訪(fǎng)問(wèn)你創(chuàng )建的對象就必須你或者管理員賦予給他權限。
（2）角色
在實(shí)際應用中，一個(gè)用戶(hù)可能需要多種權限，比如一個(gè)軟件開(kāi)發(fā)者需要登錄權限 創(chuàng )建表的權限 創(chuàng )建存儲過(guò)程 創(chuàng )建視圖之類(lèi)的權限，如果一條一條的為該用戶(hù)賦予權限的話(huà)就會(huì )加重DBA的負擔，如果可以把這些權限一次性賦予給改用戶(hù)就好了，oracle提供了一種角色的東西(sql server也有)，角色可以理解為權限的集合。
oracle內置了很多角色，用“select * from dba_roles;”可以查詢(xún)?！?span style="COLOR: rgb(255,0,0)">select * from user_role_privs;”查詢(xún)自己擁有的角色。
下面我們依舊來(lái)演示一下
首先切換到system用戶(hù)，收回test用戶(hù)的'create session’權限，然后創(chuàng )建名為'test_role’角色，將'create session’'create table’權限賦予'test_role’角色，再將'test_role’角色賦予test用戶(hù)，這樣test用戶(hù)就擁有'create session’'create table’兩種權限了。
（3）用戶(hù)schema
schema是數據對象的集合，這其實(shí)跟sql server里的數據庫差不多，只不過(guò)sql server將數據庫與用戶(hù)分離開(kāi)來(lái)了，oracle中一般一個(gè)用戶(hù)對應一個(gè)schema，默認的缺省值和用戶(hù)名相同，當我們在訪(fǎng)問(wèn)表的時(shí)候，默認會(huì )訪(fǎng)問(wèn)和該用戶(hù)名一樣的schema里面的表，如我們用scott用戶(hù)執行“select * from emp”，這條查詢(xún)語(yǔ)句和“select * from scott.emp”是一樣的，既然一個(gè)用戶(hù)對應一個(gè)schema，那么這個(gè)schema是在什么時(shí)候創(chuàng )建的呢，schema好像并不是在創(chuàng )建user時(shí)就創(chuàng )建的，而是在該用戶(hù)創(chuàng )建了第一個(gè)對象之后才將schema真正創(chuàng )建的，只有user下存在對象，他對應的schema才會(huì )存在，如果user下不存在任何對象了，schema也就不存在了。
我在網(wǎng)上找到了一個(gè)很形象的比喻：
“我們可以把Database看作是一個(gè)大倉庫，倉庫分了很多很多的房間，Schema就是其中的房間，一個(gè)Schema代表一個(gè)房間，Table可以看作是每個(gè)Schema中的床，Table（床）被放入每個(gè)房間中，不能放置在房間之外，那豈不是晚上睡覺(jué)無(wú)家可歸了，然后床上可以放置很多物品，就好比 Table上可以放置很多列和行一樣，數據庫中存儲數據的基本單元是Table，現實(shí)中每個(gè)倉庫放置物品的基本單位就是床， User就是每個(gè)Schema的主人，（所以Schema包含的是Object，而不是User），user和schema是一一對應的，每個(gè)user在沒(méi)有特別指定下只能使用自己schema（房間）的東西，如果一個(gè)user想使用其他schema（房間）的東西，那就要看那個(gè)schema（房間）的user（主人）有沒(méi)有給你這個(gè)權限了，或者看這個(gè)倉庫的老大（DBA）有沒(méi)有給你這個(gè)權限了。換句話(huà)說(shuō)，如果你是某個(gè)倉庫的主人，那么這個(gè)倉庫的使用權和倉庫中的所有東西都是你的（包括房間），你有完全的操作權，可以扔掉不用的東西從每個(gè)房間，也可以放置一些有用的東西到某一個(gè)房間，你還可以給每個(gè)User分配具體的權限，也就是他到某一個(gè)房間能做些什么，是只能看（Read-Only），還是可以像主人一樣有所有的控制權（R/W），這個(gè)就要看這個(gè)User所對應的角色Role了?！?--摘自網(wǎng)絡(luò )
（4）權限的級聯(lián)賦予與收回
如果所有的權限的賦予和收回都要DBA來(lái)操作的話(huà)，那確實(shí)對DBA殘酷了點(diǎn)兒，那能不能又DBA給某個(gè)用戶(hù)賦予某種權限 然后由該用戶(hù)在向其他用戶(hù)賦予該權限呢？答案是可以的。
下面繼續演示一下。
我們用system登錄，將test的test_role角色撤銷(xiāo)，這時(shí)test用戶(hù)不具備任何權限，創(chuàng )建用戶(hù)test1，再將test_role角色賦予給test用戶(hù) 但是后面跟了“with admin option”，這就意味著(zhù)test用戶(hù)可以將test_role角色賦予給其他角色。我們用test用戶(hù)登錄，將test_role賦予給test1用戶(hù)，再用test1用戶(hù)登錄 果然可以成功，呵呵 這當然也是廢話(huà)。接下來(lái)用system用戶(hù)將test的test_role角色收回，這時(shí)test用戶(hù)不在可以登錄 ，但是test1用戶(hù)依然可以登錄。這就說(shuō)明“with admin option”是可以將權限或者角色級聯(lián)傳遞，但是管理員收回時(shí)不會(huì )級聯(lián)收回。
注意：“with admin option”只能用于系統權限的傳遞。
下面看下對象權限的級聯(lián)傳遞
我們用scott用戶(hù)登錄，將dept的查詢(xún)權限交給test用戶(hù)，并允許test用戶(hù)繼續傳遞。用test用戶(hù)登錄，可以看到test是可以查詢(xún)scott的dept表的，繼續將scott的dept查詢(xún)權限賦予給test1，顯現現在test1也是可以查詢(xún)scott的dept?，F在由scott將test的權限收回，現在test用戶(hù)明顯不能查詢(xún)了，再看test1，可以看到現在test1也不具有對scott的dept表查詢(xún)權限了。
注意：“with grant option”只能用于對象權限。查詢(xún)其他用戶(hù)的數據對象時(shí)，對象前必須加上其schema。如上面的“scott.dept”。
總結：系統權限收回時(shí)不會(huì )級聯(lián)收回，對象權限收回時(shí)會(huì )級聯(lián)收回。
好了，這篇就到這兒吧！下篇《oracle的體系結構之存儲結構（三）》
