阅读提示：Oracle 允许使用几个PL/SQL API（UTL_TCP, UTL_SMTP, UTL_MAIL, UTL_HTTP和 UTL_INADDR）访问外部网络服务，这些API都使用TCP协议，在上一个数据库版本中（10g）是通过一个基于用户是否被授予执行某个包的许可的 on/off开关来实现的，Oracle 11g引入了细粒度访问网络服务，通过在XML DB 数据库中使用访问控制列表（ACL）来实现。
Oracle允许使用几个PL/SQL API（UTL_TCP, UTL_SMTP, UTL_MAIL, UTL_HTTP和 UTL_INADDR）访问外部网络服务，这些API都使用TCP协议，在上一个数据库版本中（10g）是通过一个基于用户是否被授予执行某个包的许可的 on/off开关来实现的，Oracle 11g引入了细粒度访问网络服务，通过在XML DB 数据库中使用访问控制列表（ACL）来实现，允许控制哪个用户能够访问哪个网络资源，而不关心包的授权。
使用FTP或WebDav可以直接在XML DB 数据库中创建、修改和删除访问控制列表，Oracle提供了DBMS_NETWORK_ACL_ADMIN和 DBMS_NETWORK_ACL_UTILITY程序包允许从PL/SQL管理访问控制列表，这些API就是本文的主角。
创建一个访问控制列表（ACL）
访问控制列表是使用DBMS_NETWORK_ACL_ADMIN程序包来操作的，CREATE_ACL存储过程使用下面的参数来创建一个新的访问控制列表：
acl - 访问控制列表XML文件的名字，产生在XML DB 数据库中的/sys/acls目录下
description - 访问控制列表的描述信息
principal - 第一个被授予或拒绝的用户账号，大小写敏感
is_grant - TRUE意味着授予了权限，FALSE意味着权限被拒绝
privilege - 给UTL_TCP, UTL_SMTP, UTL_MAIL和UTL_HTTP授予connect权限，给UTL_INADDR名称/ip解析授予resolve权限，大小写敏感
start_date - 默认值是NULL，当指定了一个值后，访问控制列表只有在指定的日期到达时或到达后才被激活
en_date - 访问控制列表结束日期（可选的）
下面的代码创建了两个测试用户充当委托人，然后又创建了一个新的访问控制列表。
CONN sys/password@db11g AS SYSDBA
CREATE USER test1 IDENTIFIED BY test1;
GRANT CONNECT TO test1;
CREATE USER test2 IDENTIFIED BY test2;
GRANT CONNECT TO test2;
BEGIN
DBMS_NETWORK_ACL_ADMIN.create_acl (
acl => 'test_acl_file.xml',
description => 'A test of the ACL functionality',
principal => 'TEST1',
is_grant => TRUE,
privilege => 'connect',
start_date => SYSTIMESTAMP,
end_date => NULL);
COMMIT;
END;
/
一旦创建完毕，访问控制列表就能够在http://host:port/sys/acls目录下看到。
使用ADD_PRIVILEGE存储过程将其他的用户或角色添加到访问控制列表中，它的参数与CREATE_ACL存储过程的参数类似，省略了DESCRIPTION参数，同时增加了POSITION参数，它用于设置优先顺序。
BEGIN
DBMS_NETWORK_ACL_ADMIN.add_privilege (
acl => 'test_acl_file.xml',
principal => 'TEST2',
is_grant => FALSE,
privilege => 'connect',
position => NULL,
start_date => NULL,
end_date => NULL);
COMMIT;
END;
/
每个委托人在访问控制列表中都被作为一个独立的访问控制单元（ACE）进行定义，当定义了多条原则时，他们按照从上到下的顺序被评估，直到最后一条 定义权限的原则，这就意味着一个拒绝访问某个资源的角色可以被授予一个用户，但是如果这个用户又作为一个委托人定义在文件中时，这个定义将覆盖角色的定 义，使用POSITION参数保证权限是按顺序进行评估的。
使用DELETE_PRIVILEGE存储过程移除权限，如果IS_GRANT或PRIVILEGE参数的值是NULL，将移除所有授予的权限。
BEGIN
DBMS_NETWORK_ACL_ADMIN.delete_privilege (
acl => 'test_acl_file.xml',
principal => 'TEST2',
is_grant => FALSE,
privilege => 'connect');
COMMIT;
END;
/
使用DROP_ACL删除访问控制列表
BEGIN
DBMS_NETWORK_ACL_ADMIN.drop_acl (
acl => 'test_acl_file.xml');
COMMIT;
END;
/
