Мартин Грубер - Понимание SQL (991940), страница 38
Текст из файла (страница 38)
Механизм SQL назначает пользователям эти привилегии с помощью команды GRANT.КОМАНДА GRANTПозвольте предположить, что пользователь Diane имеет таблицу Заказчиков ихочет позволить пользователю Adrian выполнить запрос к ней. Diane должна в этомслучае ввести следующую команду:GRANT SELECT ON Customers TO Adrian;Теперь Adrian может выполнить запросы к таблице Заказчиков. Без других привилегий, он может только выбрать значения; но не может выполнить любое действие,которые бы воздействовало на значения в таблице Заказчиков (включая использование таблицы Заказчиков в качестве родительской таблицы внешнего ключа, что ограничивает изменения которые выполнять со значениям в таблице Заказчиков).Когда SQL получает команду GRANT, он проверяет привилегии пользователя,подавшего эту команду, чтобы определить допустима ли команда GRANT.Adrian самостоятельно не может выдать эту команду.
Он также не может предоставить право SELECT другому пользователю: таблица еще принадлежит Diane(позже мы покажем как Diane может дать право Adrian предоставлять SELECT другимпользователям).Синтаксис — тот же самый, что и для предоставления других привилегий. ЕслиAdrian — владелец таблицы Продавцов, то он может позволить Diane вводить в неестроки с помощью следующего предложенияGRANT INSERT ON Salespeople TO Diane;Теперь Diane имеет право помещать нового продавца в таблицу.ГРУППЫ ПРИВЕЛЕГИЙ, ГРУППЫ ПОЛЬЗОВАТЕЛЕЙВы не должны ограничивать себя предоставлением одиночной привилегии отдельному пользователю командой GRANT. Списки привилегий или пользователей,отделяемых запятыми, являются совершенно приемлемыми.
Stephen может предоставить и SELECT и INSERT в таблице Порядков для AdrianGRANT SELECT, INSERT ON Orders TO Adrian;или и для Adrian и для DianeGRANT SELECT, INSERT ON Orders TO Adrian, Diane;Когда привилегии и пользователи перечислены таким образом, весь список привилегий предоставляются всем указанным пользователям. В строгой ANSI интерпретации, вы не можете предоставить привилегии во многих таблицах сразу однойкомандой, но в некоторых реализациях это ограничение может быть ослаблено, позволяя вам указывать несколько таблиц, отделяя их запятыми, так что бы весь списокпривелегий мог быть предоставлен для всех указанных таблиц.ОГРАНИЧЕНИЕ ПРИВИЛЕГИЙ НА ОПРЕДЕЛЕННЫЕСТОЛБЦЫВсе привилегии объекта используют один тот же синтаксис, кроме командUPDATE и REGERNCES в которых необязательно указывать имена столбцов.
Привилегию UPDATE можно предоставлять на подобии других привилегий:GRANT UPDATE ON Salespeople TO Diane;Эта команда позволит Diane изменять значения в любом или во всех столбцахтаблицы Продавцов. Однако, если Adrian хочет ограничить Diane в изменении например комиссионных, он может ввестиGRANT UPDATE (comm) ON Salespeople TO Diane;Другими словами, он просто должен указать конкретный столбец, к которомупривилегия UPDATE должна быть применена, в круглых скобках после имени таблицы. Имена многочисленых столбцов таблицы могут указываться в любом порядке, отделяемые запятыми:GRANT UPDATE (city, comm) ON Salespeople TO Diane;REFERENCES следует тому же самому правилу. Когда вы предоставите привилегию REFERENCES другому пользователю, он сможет создавать внешние ключиссылающиеся на столбцы вашей таблицы как на родительские ключи. ПодобноUPDATE, для привилегии REFERENCES может быть указан список из одного или более столбцов для которых ограничена эта привилегия.
Например, Diane может предоставить Stephen право использовать таблицу Заказчиков, как таблицуродительского ключа, с помощью такой команды:GRANT REFERENCES (cname, cnum) ON Customers TO Stephen;Эта команда дает Stephen право использовать столбцы cnum и cname, в качестве родительских ключей по отношению к любым внешним ключам в его таблицах.Stephen может контролировать то, как это будет выполнено.
Он может определить(cname, cnum) или, как в нашем случае (cnum, cname), как двух-столбцовый родительский ключ, совпадающий с помощью внешнего ключа с двумя столбцами в одной изего собственных таблиц. Или он может создать раздельные внешние ключи, чтобыссылаться на поля индивидуально, обеспечив тем самым, чтобы Diane имела принудительное присвоение родительского ключа (см. Главу 19).Не имея ограничений на номера внешних ключей он должден базироваться наэтих родительских ключах, а родительские ключи различных внешних ключей — разрешены для совмещения (overlap).Как и в случае с привилегией UPDATE, вы можете исключить список столбцов итаким образом позволять всем без исключения столбцам быть используемыми в качестве родительских ключей.
Adrian может предоставить Diane право сделать это следующей командой:GRANT REFERENCES ON Salespeople TO Diane;Естественно, привилегия будет пригодна для использования только в столбцах,которые имеют ограничения требуемые для родительских ключей.ИСПОЛЬЗОВАНИЕ АРГУМЕНТОВ ALL И PUBLICSQL поддерживает два аргумента для команды GRANT, которые имеют специальное значение: ALL PRIVILEGES (ВСЕ ПРИВИЛЕГИИ) или просто ALL и PUBLIC(ОБЩИЕ).
ALL используется вместо имен привилегий в команде GRANT чтобы отдатьвсе привилегии в таблице. Например, Diane может дать Stephen весь набор привилегий в таблице Заказчиков с помощью такой команды:GRANT REFERENCES ON Salespeople TO Diane;(привилегии UPDATE и REFERENCES естественно применяются ко всем столбцам.) Аэто другой способ высказать ту же мысль:GRANT ALL ON Customers TO Stephen;PUBLIC — больше похож на тип аргумента — захватить все (catch-all), чем напользовательскую привилегию.Когда вы предоставляете привилегии для публикации, все пользователи автоматически их получают. Наиболее часто, это применяется для привилегии SELECT вопределенных базовых таблицах или представлениях которые вы хотите сделать доступными для любого пользователя. Чтобы позволить любому пользователю видетьтаблицу Порядков, вы, например, можете ввести следующее:GRANT SELECT ON Orders TO PUBLIC;Конечно, вы можете предоставить любые или все привилегии обществу, но этовидимо нежелательно.
Все привилегии за исключением SELECT позволяют пользователю изменять (или, в случае REFERENCES, ограничивать) содержание таблицы.Разрешение всем пользователям изменять содержание ваших таблиц вызовет проблему.Даже если вы имеете небольшую компанию, и в ней работают все ваши текущиепользователи, способные выполнять команды модификации в данной таблице, былобы лучше предоставить привилегии каждому пользователю индивидуально, чем однии те же привелегии для всех.PUBLIC не ограничен в его передаче только текущим пользователям. Любой новый пользователь, добавляемый к вашей системе, автоматически получит все привилегии, назначенные ранее всем, так что если вы захотите ограничить доступ ктаблице всем, сейчас или в будущем, лучше всего предоставить привилегии, иныечем SELECT для индивидуальных пользователей.ПРЕДОСТАВЛЕНИЕ ПРИВЕЛЕГИЙ С ПОМОЩЬЮ WITHGRANT OPTIONИногда, создателю таблицы хочется чтобы другие пользователи могли получитьпривилегии в его таблице.
Обычно это делается в системах, где один или более людей создают несколько (или все) базовые таблицы в базе данных а затем передаютответственность за них тем кто будет фактически с ними работать. SQL позволяет делать это с помощью предложения WITH GRANT OPTION.Если Diane хотела бы чтобы Adrian имел право предоставлять привилегиюSELECT в таблице Заказчиков другим пользователям, она дала бы ему привилегиюSELECT с использованием предложения WITH GRANT OPTION:GRANT SELECT ON Customers TO AdrianWITH GRANT OPTION;После того Adrian получил право передавать привилегию SELECT третьим лицам. Он может выдать командуGRANT SELECT ON Diane.Customers TO Stephen;или дажеGRANT SELECT ON Diane.Customers TO StephenWITH GRANT OPTION;Пользователь с помощью GRANT OPTION в особой привилегии для данной таблицы, может, в свою очередь, предоставить эту привилегию к той же таблице, с илибез GRANT OPTION, любому другому пользователю.
Это не меняет принадлежностисамой таблицы; как и прежде таблица принадлежат ее создателю. (поэтому пользова-тели, получившие права, должны устанавливать префикс ID доступа владельца, когдассылаются к этим таблицам. Следующая глава покажет вам этот способ.) Пользователь же с помощью GRANT OPTION во всех привилегиях для данной таблицы будетиметь всю полноту власти в той таблице.ОТМЕНА ПРИВИЛЕГИЙТакже как ANSI предоставляет команду CREATE TABLE чтобы создать таблицу,но не DROP TABLE чтобы от нее избавиться, так и команда GRANT позволяет вам давать привилегии пользователям, не предоставляя способа, чтобы отобрать их обратно. Потребность удалять привилегии сводится к команде REVOKE, фактическистандартному средству с достаточно понятной формой записи.Синтаксис команды REVOKE — похож на GRANT, но имеет обратный смысл.Чтобы удалить привилегию INSERT для Adrian в таблице Порядков, вы можете ввестиREVOKE INSERT ON Orders FROM Adrian;Использование списков привилегий и пользователей здесь допустимы, как и вслучае с GRANT, так что вы можете ввести следующую команду:REVOKE INSERT, DELETE ON CustomersFROM Adrian, Stephen;Однако, здесь имеется некоторая неясность.
Кто имеет право отменять привилегии? Когда пользователь с правом передавать привелегии другим, теряет это право?Пользователи которым он предоставил эти привилегии, также их потеряют ? Так какэто не стандартная особенность, нет никаких авторитетных ответов на эти вопросы,но наиболее общий подход — это такой:* Привилегии отменяются пользователем, который их предоставил, и отмена будет каскадироваться, то-есть она будет автоматически распространяться на всехпользователей, получивших от него эту привилегию.ИСПОЛЬЗОВАНИЕ ПРЕДСТАВЛЕНИЙ ДЛЯ ФИЛЬТРАЦИИПРИВЕЛЕГИЙВы можете сделать действия привилегий более точными, используя представления. Всякий раз, когда вы передаете привилегию в базовой таблице пользователю,она автоматически распространяется на все строки, а при использовании возможныхисключений UPDATE и REFERENCES, на все столбцы таблицы.Создавая представление, которое ссылается на основную таблицу, и затем перенося привилегию на представление, а не на таблицу, вы можете ограничивать этипривилегии любыми выражениями в запросе, содержащимся в представлении.
Этозначительно улучшает базисные возможности команды GRANT.КТО МОЖЕТ СОЗДАВАТЬ ПРЕДСТАВЛЕНИЯ?Чтобы создавать представление, вы должны иметь привилегию SELECT во всехтаблицах, на которые вы ссылаетесь в представлении. Если представление — модифицируемое, любая привелегия INSERT, UPDATE и DELETE, которые вы имеете вбазовой таблице, будут автоматически передаваться представлению. Если вы испытываете недостаток в привилегиях на модификацию в базовых таблицах, вы не смо-жете иметь их и в представлениях, которые создали, даже если сами этипредставления — модифицируемые.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
