Oracle 虛擬私有資料庫 (VPD) 進階策略類型與效能優化實戰

前言：行級安全不再是效能殺手

虛擬私有資料庫 (VPD) 透過動態謂詞注入實現行級存取控制，是多租戶、數據歸屬隔離的核心技術。Oracle 10g 引入 4 種新策略類型 (CONTEXT_SENSITIVE, SHARED_CONTEXT_SENSITIVE, SHARED_STATIC, STATIC)，配合應用上下文，將策略函數重複執行開銷降至接近零。本文深度解析 5 種策略類型決策邏輯、適用場景、實戰代碼與效能基準。

核心機制回顧：謂詞注入與策略函數

• 用戶查詢：SELECT * FROM accounts;
• VPD 自動重寫：SELECT * FROM accounts WHERE am_name = 'admin';
• 策略函數 policy_function 返回謂詞字串 'am_name = ''admin'''
• 謂詞結構：靜態部分 (欄位/運算符) + 動態部分 (值/變數)

五大策略類型決策樹與實戰代碼

實戰代碼範例：從動態到靜態的效能躍遷

1. CONTEXT_SENSITIVE — 多租戶 SaaS 模式

-- 策略函數：謂詞結構固定，值取自應用上下文
CREATE OR REPLACE FUNCTION vpd_balance_policy (
  p_schema VARCHAR2, p_object VARCHAR2
) RETURN VARCHAR2 AS
BEGIN
  RETURN 'balance < SYS_CONTEXT(''vpd_ctx'', ''max_bal'')';
END;
/

-- 註冊策略
BEGIN
  DBMS_RLS.ADD_POLICY(
    object_schema   => 'FINANCE',
    object_name     => 'ACCOUNTS',
    policy_name     => 'BALANCE_LIMIT_POL',
    function_schema => 'SECURITY',
    policy_function => 'VPD_BALANCE_POLICY',
    policy_type     => DBMS_RLS.CONTEXT_SENSITIVE,  -- 關鍵：上下文敏感
    statement_types => 'SELECT,INSERT,UPDATE,DELETE'
  );
END;
/

-- 應用層登錄後設置上下文 (每會話一次)
BEGIN
  DBMS_SESSION.SET_CONTEXT('vpd_ctx', 'max_bal', :user_max_balance);
END;
/

效能機制：會話期間 max_bal 不變 → 策略函數不再執行 → 謂詞直接復用 → 消除函數調用開銷。

2. STATIC — 固定租戶/部門隔離模式

CREATE OR REPLACE FUNCTION vpd_dept_policy (
  p_schema VARCHAR2, p_object VARCHAR2
) RETURN VARCHAR2 AS
BEGIN
  RETURN 'dept_id = SYS_CONTEXT(''userenv'', ''session_user'')';  -- 或映射表查詢
END;
/

BEGIN
  DBMS_RLS.ADD_POLICY(
    object_schema   => 'HR',
    object_name     => 'EMPLOYEES',
    policy_name     => 'DEPT_ISOLATION_POL',
    function_schema => 'SECURITY',
    policy_function => 'VPD_DEPT_POLICY',
    policy_type     => DBMS_RLS.STATIC,  -- 關鍵：靜態
    statement_types => 'SELECT,INSERT,UPDATE,DELETE'
  );
END;
/

-- 登錄觸發器自動設置 (可選)
CREATE OR REPLACE TRIGGER set_dept_context
AFTER LOGON ON DATABASE
BEGIN
  IF USER IN ('LORA','MICHELLE') THEN
    DBMS_SESSION.SET_CONTEXT('vpd_ctx', 'dept_id', 
      CASE USER WHEN 'LORA' THEN 'ACME' WHEN 'MICHELLE' THEN 'GOLDTONE' END);
  END IF;
END;
/

⚠️ 風險警示：若會話中上下文值被修改 (如 DBMS_SESSION.SET_CONTEXT)，STATIC 策略不會重新執行函數，將產生錯誤結果！僅在絕對確定會話內上下文不變時使用，否則退回 CONTEXT_SENSITIVE。

3. SHARED_CONTEXT_SENSITIVE / SHARED_STATIC — 跨會話謂詞共享

在上述註冊代碼中將 policy_type 替換為 DBMS_RLS.SHARED_CONTEXT_SENSITIVE 或 DBMS_RLS.SHARED_STATIC。適用於：數千會話共享相同部門/角色權限，SGA 緩存單一謂詞副本，極大降低共享池壓力。

效能基準對比 (模擬 1000 會話並發查詢 10 萬行表)

選型決策清單

1. 謂詞值是否依賴會話級上下文 (SYS_CONTEXT)？
   → 否 (僅依賴 USER) → STATIC / SHARED_STATIC
   → 是 → 第 2 條
2. 上下文值在會話期間是否可能變更？
   → 是 → CONTEXT_SENSITIVE / SHARED_CONTEXT_SENSITIVE
   → 否 (登錄後固定) → STATIC / SHARED_STATIC (風險可控前提下)
3. 相同上下文值的會話數量是否大量 (＞100)？
   → 是 → 優先 SHARED_* 系列
   → 否 → 普通 CONTEXT_SENSITIVE / STATIC

總結

VPD 不再是「安全換效能」的零和遊戲。透過精準選擇 5 種策略類型，配合應用上下文設計，可實現「行級安全 + 近零開銷」。核心原則：謂詞越靜態、共享範圍越大、效能越高。請在下次實施 VPD 時，先畫出「謂詞動態性分析圖」，再按決策樹選型——這是專家與新手的分水嶺。