Question

我想做的事情在概念上很简单，但在现实中似乎要复杂得多。

基本上，每当为我们数据库中的几个用户创建一个新表时，我想授予一个角色的选择权限。基本上这个：

grant select on TABLENAME to READROLE;

到目前为止，我的触发器看起来像这样：

创建或替换触发器osmm_grant_on_creation

在OSMM.SCHEMA上创建

BEGIN
    //grant goes here
END

问题是，我无法弄清楚如何通过获取新创建的表的名称并通过触发器将其引用到授权来将两者连接在一起。有什么建议？感谢。

Answer 1

它可能比你想的更复杂。 GRANT语句是DDL，这意味着它发出隐式提交，这意味着您无法直接将其置于触发器中。您的触发器需要提交一个在提交的触发事务之后在单独的会话中运行的作业，该作业实际上将执行授权。这意味着您必须使用较旧的DBMS_JOB包来安排作业，因为更现代的DBMS_SCHEDULER也会隐式提交。

由于您不应该首先在Oracle中动态创建表，因此这种授权的适当位置在您首先创建表的运行脚本中。依靠触发器来执行诸如授予之类的操作往往会使构建正确的构建变得更加困难，因为在两个不同的环境中运行完全相同的脚本可能会因触发器的不同而生成两个不同的结果。

但是，如果您决定沿着这条路走下去，那么您可能需要像

这样的东西

授予权限的程序

CREATE OR REPLACE PROCEDURE grant_select_to_readrole( p_table_name IN VARCHAR2 )
AS
BEGIN
  EXECUTE IMMEDIATE 'grant select on ' || p_table_name || ' to readrole';
END;

提交调用此过程的作业的触发器

CREATE OR REPLACE TRIGGER osmm_grant_on_creation
  AFTER CREATE ON OSMM.SCHEMA
AS
  l_jobno PLS_INTEGER;
BEGIN
  dbms_job.submit( l_jobno,
                   'BEGIN grant_select_to_readrole( ''' || ora_dict_obj_name || ''' ); END;',
                   sysdate + interval '10' second );
END;

如果您尝试在架构级触发器本身中发出DDL，则会出现错误

SQL> ed
Wrote file afiedt.buf

  1  create or replace trigger after_create_on_scott
  2    after create on schema
  3  declare
  4  begin
  5    execute immediate 'grant select on scott.emp to hr';
  6* end;
SQL> /

Trigger created.

SQL> create table foo( col1 number );
create table foo( col1 number )
*
ERROR at line 1:
ORA-00604: error occurred at recursive SQL level 1
ORA-30511: invalid DDL operation in system triggers
ORA-06512: at line 3

Answer 2

您可能需要执行以下操作：

CREATE OR REPLACE TRIGGER osmm_grant_on_creation

AFTER CREATE ON OSMM.SCHEMA
DECLARE
new_obj_name varchar2(30);
BEGIN
SELECT ora_dict_obj_name
INTO new_obj_name
FROM dual
WHERE ora_dict_obj_type = 'TABLE';

execute immediate 'grant select on ' || new_obj_name || ' to READROLE';
END

但我无法检查它是否有效

如何创建授予权限的Oracle触发器

2 个答案: