利用Oracle內置安全特性強化PHP應用：VPD、角色、權限最小化實戰

應用層安全 vs 數據庫層安全

傳統模式：應用控制權限，數據庫單一高權限賬戶 → SQL注入風險極大。
數據庫層安全：Oracle VPD/角色/列級權限原生強制執行，縱深防禦。

Oracle核心安全機制

1. 認證與用戶

• 密碼/外部/全局認證
• 強認證：Kerberos、RADIUS、SSL證書

2. 權限體系

• 系統權限：CREATE SESSION、CREATE TABLE等
• 對象權限：SELECT/INSERT/UPDATE/DELETE ON schema.table

3. 角色

• 權限命名集合，簡化授權管理
• 典型角色：APP_READONLY、APP_WRITE、APP_ADMIN

4. 虛擬私有數據庫 (VPD/細粒度訪問控制)

-- 創建策略函數
CREATE FUNCTION auth_policy (schema VARCHAR2, object VARCHAR2) RETURN VARCHAR2 AS
BEGIN
  RETURN 'dept_id = SYS_CONTEXT(''USER_CTX'', ''DEPT_ID'')';
END;

-- 應用策略
BEGIN
  DBMS_RLS.ADD_POLICY(
    object_schema => 'HR',
    object_name   => 'EMPLOYEES',
    policy_name   => 'DEPT_ISOLATION',
    function_schema => 'SECURITY',
    policy_function => 'AUTH_POLICY',
    statement_types => 'SELECT,INSERT,UPDATE,DELETE'
  );
END;

效果：用戶只能看到自己部門數據，繞過應用層直接連數據庫也受限。

5. 列級權限與加密

• GRANT UPDATE(salary) ON hr.employees TO payroll_role;
• 透明數據加密(TDE)保護存儲層

PHP整合最佳實踐

1. 應用使用低權限專用賬戶連接 (僅EXECUTE存儲過程)
2. 業務邏輯下沉存儲過程，PHP僅調用CALL proc()
3. 上下文設置：登錄後DBMS_SESSION.SET_CONTEXT('USER_CTX','DEPT_ID', $deptId)
4. 審計：AUDIT SELECT ON hr.employees BY ACCESS;