Oracle 10g VPD 細粒度存取控制：五種策略類型深度解析與效能優化

前言

虛擬私有資料庫 (VPD, Virtual Private Database) 是 Oracle 8i 推出的行級安全功能，透過動態修飾查詢謂詞實現資料隔離。Oracle 10g 引入四種新策略類型，針對謂詞動態性質提供精細的快取與重新評估控制，大幅提升高併發環境下的效能。本文深度解析 Dynamic、Context-Sensitive、Shared Context-Sensitive、Shared Static、Static 五種策略類型的運作機制、適用場景與效能特徵。

一、VPD 核心運作原理

• 安全策略定義於表/視圖/同義詞上
• 策略函數回傳 WHERE 條件謂詞字串 (如 dept_id = 10)
• 查詢重寫：SELECT * FROM emp → SELECT * FROM emp WHERE dept_id = 10
• 透明於應用，無需修改 SQL

二、謂詞結構分析：靜態部份 vs 動態部份

以 WHERE am_name = 'SCOTT' 為例：

• 靜態部份：am_name = (欄位名、運算子)
• 動態部份：'SCOTT' (依用戶身分、權限、上下文變化)

關鍵洞見：靜態部份不變時，動態部份若可從穩定上下文取得，即可避免重複執行策略函數。

三、五種策略類型詳細比較

四、各類型實作範例

1. Dynamic (預設，向後相容)

BEGIN
  DBMS_RLS.ADD_POLICY(
    object_schema   => 'HR',
    object_name     => 'EMPLOYEES',
    policy_name     => 'EMP_DYNAMIC_POL',
    function_schema => 'SECURITY',
    policy_function => 'GET_EMP_PREDICATE',
    policy_type     => DBMS_RLS.DYNAMIC
  );
END;

2. Context-Sensitive：依賴應用上下文

-- 策略函數
CREATE OR REPLACE FUNCTION get_balance_predicate(
  p_schema IN VARCHAR2, p_table IN VARCHAR2
) RETURN VARCHAR2 IS
BEGIN
  RETURN 'balance < SYS_CONTEXT(''VPD_CTX'', ''MAX_BAL'')';
END;

-- 註冊策略
BEGIN
  DBMS_RLS.ADD_POLICY(
    policy_type => DBMS_RLS.CONTEXT_SENSITIVE,
    -- 其他參數同上
  );
END;

-- 應用登入後設定上下文
BEGIN
  DBMS_SESSION.SET_CONTEXT('VPD_CTX', 'MAX_BAL', 100000);
END;

效能機制：會話期間 MAX_BAL 不變 → 策略函數不重新執行 → 謂詞從 SGA 快取取得。

3. Static：完全靜態謂詞

CREATE OR REPLACE FUNCTION get_cust_predicate(
  p_schema IN VARCHAR2, p_table IN VARCHAR2
) RETURN VARCHAR2 IS
BEGIN
  RETURN 'cust_name = SYS_CONTEXT(''VPD_CTX'', ''CUST_NAME'')';
END;

BEGIN
  DBMS_RLS.ADD_POLICY(
    policy_type => DBMS_RLS.STATIC,
    -- 其他參數
  );
END;

風險警示：若會話中 CUST_NAME 上下文被修改，策略函數不會重跑 → 回傳錯誤資料！
鐵律：只有 100% 確定會話期間上下文不變時才用 STATIC，否則改用 CONTEXT_SENSITIVE。

4. Shared Context-Sensitive：跨表共享

-- SAVINGS 與 CHECKING 表共用同一策略函數
BEGIN
  DBMS_RLS.ADD_POLICY(object_name => 'SAVINGS',   policy_type => DBMS_RLS.SHARED_CONTEXT_SENSITIVE, ...);
  DBMS_RLS.ADD_POLICY(object_name => 'CHECKING', policy_type => DBMS_RLS.SHARED_CONTEXT_SENSITIVE, ...);
END;

效能增益：同會話查詢 SAVINGS 再查 CHECKING，上下文未變 → 策略函數不重跑，直接複用謂詞快取。

五、策略選擇決策樹

謂詞是否每次查詢都不同？
  ├─ 是 → DYNAMIC (無快取)
  └─ 否 → 謂詞是否依賴應用上下文？
        ├─ 否 → 謂詞是否僅依賴登入用戶 (會話不變)？
        │       ├─ 是 → STATIC (最快，但風險最高)
        │       └─ 否 → CONTEXT_SENSITIVE (平衡)
        └─ 是 → 是否多表共用同一函數？
                ├─ 是 → SHARED_CONTEXT_SENSITIVE
                └─ 否 → CONTEXT_SENSITIVE

六、效能量化對比 (典型 OLTP 負載)

七、最佳實務建議

1. 預設用 Context-Sensitive：安全性與效能最佳平衡點
2. Static 僅用於多租戶 SaaS 登入觸發器設定上下文場景，並加註解警示
3. 共享策略：識別共用安全邏輯的表群，統一註冊 SHARED_* 類型
4. 上下文命名規範：VPD_<業務域>_<屬性>，避免衝突
5. 審計與監控：啟用 DBMS_RLS.ADD_POLICY 的 sec_relevant_cols、sec_relevant_cols_opt 進行欄位級保護
6. 測試驗證：自動化測試覆蓋上下文變更、多表查詢、併發會話場景

結語

Oracle 10g VPD 策略類型演進，本質上是謂詞快取粒度與失效條件的精細控制。從 Dynamic 的零快取到 Static 的永久快取，中間的 Context-Sensitive 與 Shared 系列提供了豐富的效能調優槓桿。核心原則：謂詞靜態部份越多、動態部份來源越穩定 (應用上下文 vs 即時計算)、共用範圍越廣 (跨表/跨會話)，效能增益越大。實務中建議以 Context-Sensitive 為基準，經效能測試驗證後，再針對熱點表升級為 Shared Context-Sensitive 或謹慎降級為 Static，構建安全且高效的行級存取控制體系。