五种类型的策略、列相关策略以及列屏蔽使得 VPD 成为 DBA 的安全工具箱中一种功能更加强大的工具
虚拟专用数据库 (VPD) 也称为细粒度访问控制，它提供强大的行级安全功能。它是在 Oracle8i 中推出的，已经受到广泛的欢迎，并且在从教育软件到金融服务等各种应用程序得到采用。
VPD 的工作方法是，通过透明地更改对数据的请求，基于一系列定义的标准向用户提供表的局部视图。在运行时，所有查询都附加了谓词，以便筛选出准许用户看到的行。例如，如果只允许用户查看帐户管理员 SCOTT 的帐户，则 VPD 设置自动地将查询：
select * from accounts;
重写为：
select * from accounts
where am_name = 'SCOTT';
DBA 在表 ACCOUNTS 上设置了一项安全策略。该策略具有一个相关函数，称为policy function，它返回一个用作谓词的字符串 where am_name = 'SCOTT'。如果您不熟悉该特性的全部功能，我建议您阅读 Oracle 杂志的文章“利用 VPD 保持信息的私密性”。
策略类型
生成谓词所需的重复分析是一种在某些情况下可以进行修整的开销。例如，在大部分实际情况中，谓词并不象 am_name = 'SCOTT' 那样是静态的；它基于用户的身份、用户的权限级别、用户向哪个帐户管理员进行报告等情况,可能更具有动态性。由策略函数创建并返回的字符串可能会具有很强的动态性，而为了保证其结果，Oracle 必须每次重新执行策略函数，既浪费资源又降低性能。在这种类型的策略中，谓词每次执行时可能会有很大的差别，该策略称为“动态”策略，在 Oracle9i 数据库以及以前的版本中已经提供了这种策略。
除了保留动态策略之外，Oracle 数据库 10g 还基于谓词的构造推出了几种新类型的策略，为提高性能提供了更好的控制：context_sensitive、shared_context_sensitive、shared_static 和 static。现在，让我们来了解每种策略类型的意义以及如何在适当的场合中使用它们。
动态策略。 为保持向后兼容性，10g 中的默认策略类型为“dynamic” — 正如 Oracle9i 中一样。在这种情况下，对于每行以及每位用户，在每次访问表时都对策略函数进行重新求值。让我们来详细分析策略谓词：
where am_name = 'SCOTT'
忽略掉 where 子句，谓词就具有两个不同的部分：在等式操作符之前的部分 (am_name) 和等式操作符之后的部分 ('SCOTT')。在大多数情况下，后面的部分更象是变量，因为它是由用户的数据提供的（如果用户是 SCOTT，则其值为 'SCOTT'）。在等号前面的部分是静态的。因此，即使函数不必为生成适当的谓词而对每行求出策略函数的值，由于了解前面部分的静态性以及后面部分的动态性，也可以提高性能。在 10g 中，可以在 dbms_rls.add_policy 调用中使用 "context_sensitive" 类型的策略作为参数来实现这种方法：
policy_type => dbms_rls.context_sensitive
在另一个示例中，我们有一个称为 ACCOUNTS 的表，它拥有几列，其中一列是 BALANCE，表示帐户余额。假设允许某个用户查看低于某特定余额的帐户，而该余额由应用程序上下文所决定。我们并不在策略函数中将此余额值固定，而是3是根据应用程序上下文确定，如：
create or replace vpd_pol_func
10g 可以利用这种情况，在 SGA 中对谓词进行高速缓存，并在会话中重用该谓词，而不必重新执行策略函数。策略函数类似于以下形式：
create or replace vpd_pol_func
policy_type => dbms_rls.shared_context_sensitive
将策略声明为 "shared" 可以在以上所示的情况中不再执行该函数，从而提高了性能。
选择性的列
现在设想一种情况，只有在选择了特定列时才会应用 VPD 策略。在上述示例的表 ACCOUNTS 中，各行如下所示：
ACCTNO ACCT_NAME
BALANCE
------ ------------ -------
1 BILL CAMP
1000
2 TOM CONNOPHY 2000
3 ISRAEL D
1500
不允许 Michelle 查看余额超过 1600 的帐户。当她执行类似以下的查询时：
select * from accounts;
将看到：
ACCTNO ACCT_NAME
BALANCE
------ ------------ -------
1 BILL CAMP
1000
3 ISRAEL D
1500
acctno 2 的余额超过 1600，它已禁止显示。对于 Michelle 而言，表中只有两行，而不是三行。当她执行类似以下的查询时：
select count(*) from accounts;
该查询只计算表中的记录数，输出是二，而不是三。
但是，此时我们可以决定将安全策略稍微放松一些。在本查询中，Michelle 不能查看帐户余额等秘密数据；她只是计算表中所有记录的数目。在与安全策略一致的情况下，我们可以允许此查询计算所有记录的数目，无论是否允许她查看这些记录。如果需要这样，则在对 10g 的 dbms_rls.add_policy 的调用中的另一个参数允许实现此功能：
sec_relevant_cols => 'BALANCE'
现在，当用户选择列 BALANCE 时，无论是显式选择还是隐含在 select * 中，VPD 策略都会介入，对行作出限制。否则将会选择表中所有的行，因为在查询中用户只选择了总计行数，而没有选择列 BALANCE。如果将以上参数设置为所示的形式，则查询
select count(*) from accounts;
将显示三列，而不是两列。但是查询：
select * from accounts;
