Select * from sales_list ; 

  
  

   
   

  
  
Select qty_soldand 

connect oe/oe replace package sales_app_pkg 2 procedure set_sales_context3end4 body sales_app_pkg procedure set_sales_context beginuser567 grant on sales_list to public grant update on sales_list to grant execute on sales_app_pkg to

connect hrhr set_sales_contextSYS_CONTEXT'SALES_CTX''SELLER_ID'--------------------------------------------------------------------------------HR

可以看到，应用程序上下文生效了。接下来，我们创建用于FGAC 规则的函数。

function where_condition (p_schema_name varchar2p_tab_name varchar2return varchar2 v_user varchar2(3089 varchar2 10 v_seller_id varchar2100:= uppersys_context));11 v_where_condition varchar220001213if v_seller_id like 'S%'then14 v_where_condition 'seller_id = '||'''' v_seller_id ''''15else16null17endif18 v_where_condition192021

在这里，我们主要关注 where_condition 函数，该函数会为 FGAC 规则返回限定条件。这种 FGAC 规则函数必须具有两个传入参数，第一个参数表示 schema 名称，第二个参数表示表的名称。表示对哪 个schema 下的哪个表添加FGAC 规则。同时必须返回字符型的值，该返回值会被Oracle 自动添加到 sql 语句中的where条件部分。不过函数名称和参数名称可以按照需要进行指定。从这里定义的函数 体中可以看出，如果登录的用户名以S 开头，则会受到FGAC 规则的限制，where 条件里会添加 seller_id='Sxxxx' ，Sxxxx 表示登录的用户名。否则，如果以其他用户的身份登录，则不会受到FGAC规则的限制。

创建了用于FGAC 规则的函数以后，我们开始定义FGAC 规则。

connect as sysdba dbms_rlsadd_policy OBJECT_SCHEMA=>'oe' OBJECT_NAME'sales_list' POLICY_NAME'oe_sales_list_fgac' FUNCTION_SCHEMA POLICY_FUNCTION'sales_app_pkg.where_condition' STATEMENT_TYPES'select,update' UPDATE_CHECK=>true ENABLE

如上所示，我们使用 dbms_rls 程序包来创建 FGAC 规则。我们为用户 OE下的sales_list 表创建了 规则；该规则利用用户 OE下的sales_app_pkg.where_condition 函数返回 where条件；该规则作用的 sql 语句类型为select 和update ；update_check 参数说明是否对更新以后的结果判断是否满足 FGAC 规则； 在创建规则的同时，我们也启用该规则（enable 设置为true ）。

创建了FGAC 规则以后，我们需要在用户登录到应用程序的时候，调用 sales_app_pkg 程序包里 的set_sales_context 存储过程来设置该用户的应用程序上下文里的 seller_id 属性的值。在实际应用中， 我们可以在登录界面上，当用户单击登录按钮的时候进行设置。在这里为了演示效果，我们创建一个 登录触发器来设置，如下所示：

replace trigger set_seller_id_on_logon after logon on DATABASE

现在，我们可以开始测试FGAC 规则的效果了。

count(*)groupbySELLER_ID COUNTS0010 1067S0030 968S0020 1465

connect s0010s0010 ---------------------------------------S0010 sales_list

很明显看到，我们设置的FGAC 规则生效了。我们继续测试更新操作：

qty_sold id=300SELLER_ID QTY_SOLD -------- update oeset'S0020'update oe30028115 policy with check option violation

由于我们在创建FGAC 规则时，指定了update_check 为true ，当用户 S0010 登录以后更新sales_list 表，将 seller_id 从S0010 更新为S0020 时报错，因为 S0010 无权查询和修改不属于他的销售数据。如 果指定update_check 为false ，则允许这样的update 语句成功。

drop_policy

hr_col_vpd p_owner inp_obj varchar2 l_ret varchar2p_owner = USER l_ret NULL'1=2' l_ret

这里，我们创建了一个规则函数。与 FGAC 规则一样，该函数必须有两个传入参数，第一个表示 要限定的表所属的schema 名称，第二个表示要限定的表的名称。在该函数中，我们定义，如果登录用 户为表的属主，则可以查看所有列；否则，登录用户不是表所属的用户，则不能查看指定列。

至于具体哪些列要被屏蔽，则需要在定义政策时进行指定，如下所示：

object_schema'hr' object_name'employees' policy_name'hr_emp_col_policy' function_schema policy_function'hr_col_vpd' statement_types'select' sec_relevant_cols'salary' sec_relevant_cols_opt =>all_rows

创建基于列VPD 与创建FGAC 政策一样，也是使用dbms_rls 程序包里的add_policy 存储过程。 在这里，我们定义了一个名为 hr_emp_col_policy 的政策。该政策作用在用户 HR下的employees 表上； 采用的政策函数为用户HR下的hr_col_vpd 。

与FGAC 政策不同的是，我们需要指定另外两个参数：sec_relevant_cols表示要屏蔽的列的名称， 可以指定多个列，列与列之间用逗号隔开；sec_relevant_cols_opt 设置为all_rows，则说明对 employees 表里所有的记录都屏蔽salary 列。

我们以用户HR的身份登录，并显示salary 列。

employee_idlast_namesalary hremployees rownum<4EMPLOYEE_ID LAST_NAME SALARY -------------------------------198 OConnell2600199 Grant200 Whalen4400

可以看到所有的salary 列都显示出来了。然后以用户OE的身份登录，执行下面的sql 语句：

很明显，对于用户OE来说，salary 列已经被屏蔽了。