从应用程序层分离数据库安全性的最佳实践

Question

在Oracle文档中，反复提到，由于多种原因，应用程序的所有用户最好是数据库用户而不是某种“用户”表中的记录。例如，在docs.oracle.com/cd/B28359_01/network.111/b28531 / ... - “在可能的情况下，您应该构建应用程序用户是数据库用户的应用程序。这样，您可以利用内在的安全机制数据库。“

我对他们称之为One Big Application User模式非常熟悉，但我确信这不是最佳方式。但是，似乎为每个Web用户创建数据库用户也不是特别可能，所以我的问题是，将数据的安全定义与访问它的应用程序分开的一些最佳实践是什么？

一些想法：

• 数据库和应用程序之间的安全接口。应用程序永远不会知道数据库。
• 创建利用应用程序上下文自动筛选出应用程序用户无法读取的行的视图，并仅授予应用程序用户访问该视图的权限。
• 同样创建利用应用程序上下文仅允许授权数据访问/操作的过程。

我目前正在使用Oracle 11g XE，我想避免涉及其他Oracle产品（如Internet目录或中间件）的解决方案。