码迷,mamicode.com
首页 > 其他好文 > 详细

select...for update的锁权限

时间:2019-01-02 01:24:29      阅读:248      评论:0      收藏:0      [点我收藏+]

标签:err   自动   pac   pre   tab   view   views   一个   cte   

今天生产遇到一个dblink用户自由select权限,但能通过for update锁表,感觉很奇怪

网上的大拿给了参考,mark下:

几年以前有朋友问过类似的问题,当时考虑了一下,没有想到好的解决方法,前些天有客户询问同样的问题,没有办法周末仔细琢磨了一下,总算是找到一个解决的方法。

 

 

其实现在Oracle有专门的工具可以解决这个问题,就是Oracle的FireWall,通过直连的配置方式可以阻塞预配置好的FOR UPDATE操作,不过那需要单独的软件。这里主要方案是要通过数据库现有的功能实现这个目标。

限制FOR UPDATE是有实际意义的,有时候只希望给用户分配查询权限,但是一旦分配了SELECT权限后,用户就自动拥有了FOR UPDATE能力,虽然用户并没有真正UPDATE的权限,但是仍然可以将表的记录锁定,而这有时候并不是所期望的。

SQL> conn test/test
Connected.
SQL> create table t_update (id number, name varchar2(30));

Table created.

SQL> insert into t_update values (1, ‘a‘);

1 row created.

SQL> commit;

Commit complete.

SQL> create user u1 identified by u1;

User created.

SQL> grant create session to u1;

Grant succeeded.

SQL> grant select on t_update to u1;

Grant succeeded.

切换到U1用户,现在可以对T_UPDATE进行SELECT FOR UPDATE操作:

SQL> conn u1/u1
Connected.
SQL> set sqlp ‘SQL2> ‘

SQL2> select * from test.t_update where id = 1 for update;

        ID NAME
---------- ------------------------------
         1 a

为了避免FOR UPDATE操作,可以封装一层视图。

SQL> create view v_update as select * from t_update;

View created.

SQL> grant select on v_update to u1;

Grant succeeded.

但是如果仅是视图,那么没有任何作用,FOR UPDATE操作同样可以对单表查询的视图执行:

SQL2> select * from test.v_update where id = 1 for update;

        ID NAME
---------- ------------------------------
         1 a

如果添加ROWNUM等伪列,可以避免直接FOR UPDATE:

SQL> create or replace view v_update as select rownum rn, a.* from t_update a;

View created.

但是如果FOR UPDATE指定ROWNUM伪列外的真实列,还是可以绕开:

SQL2> select * from test.v_update where id = 1 for update; 
select * from test.v_update where id = 1 for update
                   *
ERROR at line 1:
ORA-02014: cannot select FOR UPDATE from view with DISTINCT, GROUP BY, etc.

SQL2> select id, name from test.v_update where id = 1 for update;

        ID NAME
---------- ------------------------------
         1 a

通过报错信息可以看出,如果包含了GROUP BY或DISTINCT就可以阻止FOR UPDATE操作:

SQL> create or replace view v_update as select distinct * from t_update;

View created.

但是这种方式无疑会带来性能问题,更重要的是,如果表中存在重复记录,那么DISTINCT操作会使得重复记录丢失。

而最好的解决方法是采用UNION ALL方式创建视图:

SQL> create or replace view v_update as 
2 select * from t_update
3 union all
4 select * from t_update where 1 = 2;

View created.

现在就达到了阻止FOR UPDATE的操作,且对于查询基表的性能影响最小:

SQL2> select * from test.v_update where id = 1 for update;
select * from test.v_update where id = 1 for update
*
ERROR at line 1:
ORA-02014: cannot select FOR UPDATE from view with DISTINCT, GROUP BY, etc.

对于不希望用户执行FOR UPDATE操作的表,可以创建成UNION ALL视图,并将视图的查询权限授权给用户。

  原文:http://blog.itpub.net/4227/viewspace-713128/

select...for update的锁权限

标签:err   自动   pac   pre   tab   view   views   一个   cte   

原文地址:https://www.cnblogs.com/tonnytangy/p/10206516.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!