Oracle 細粒度存取控制 (FGAC/VPD) 完整架構與五大策略類型效能優化指南

Virtual Private Database (VPD)，即細粒度存取控制 (Fine-Grained Access Control, FGAC)，是 Oracle 企業級安全的核心：以行級安全策略，在查詢重寫階段透明附加謂詞，實現「同一張表、不同使用者看到不同資料」，零應用程式修改。10g 引入四種新策略類型，配合應用程式上下文，提供從「每行每次重算」到「SGA 快取重用」的效能光譜。本文系統解析 VPD 架構、五大策略類型、適用場景與陷阱避坑。

VPD 核心運作機制

1. 策略函數：PL/SQL 函數，輸入 schema, table，回傳 VARCHAR2 謂詞片段 (如 dept_id = SYS_CONTEXT('ctx', 'dept'))。
2. 註冊策略：DBMS_RLS.ADD_POLICY 綁定函數至物件，指定 POLICY_TYPE。
3. 查詢重寫：使用者執行 SELECT * FROM accounts → Oracle 內部重寫為 SELECT * FROM accounts WHERE <謂詞>。
4. 透明性：應用程式、報表工具、甚至 DBA (若未免除) 均受策略約束。

五大策略類型：從動態到靜態的效能光譜

關鍵範例：從 Dynamic 到 Static 的演進

1. Dynamic (預設行為)

CREATE OR REPLACE FUNCTION vpd_dynamic_f (p_schema VARCHAR2, p_table VARCHAR2)
RETURN VARCHAR2 AS
BEGIN
  RETURN 'dept_id = ' || SYS_CONTEXT('USERENV', 'SESSION_USER'); -- 每次皆算
END;
/
BEGIN
  DBMS_RLS.ADD_POLICY(
    object_schema   => 'SCOTT',
    object_name     => 'EMP',
    policy_name     => 'EMP_DYNAMIC',
    function_schema => 'SEC_ADMIN',
    policy_function => 'VPD_DYNAMIC_F',
    policy_type     => DBMS_RLS.DYNAMIC  -- 可省略，預設即此
  );
END;
/

2. Context Sensitive (上下文驅動，避免重複計算)

-- 應用上下文：由中介層登入後 SET CONTEXT
CREATE OR REPLACE CONTEXT vpd_ctx USING vpd_pkg;

CREATE OR REPLACE FUNCTION vpd_cs_f (p_schema VARCHAR2, p_table VARCHAR2)
RETURN VARCHAR2 AS
BEGIN
  RETURN 'balance < SYS_CONTEXT(''VPD_CTX'', ''MAX_BAL'')'; -- 結構固定，參數來自上下文
END;
/
BEGIN
  DBMS_RLS.ADD_POLICY(
    policy_type => DBMS_RLS.CONTEXT_SENSITIVE,  -- 關鍵差異
    ...);
END;
/
-- 效能機制：若會話期間 VPD_CTX.MAX_BAL 未變，Oracle 跳過函數執行，直接重用謂詞

3. Static (托管/多租戶極致效能)

CREATE OR REPLACE FUNCTION vpd_static_f (p_schema VARCHAR2, p_table VARCHAR2)
RETURN VARCHAR2 AS
BEGIN
  RETURN 'cust_id = SYS_CONTEXT(''VPD_CTX'', ''CUST_ID'')'; -- 謂詞結構+值皆固定
END;
/
BEGIN
  DBMS_RLS.ADD_POLICY(
    policy_type => DBMS_RLS.STATIC,  -- 只執行一次，結果快取於 SGA
    ...);
END;
/
-- ⚠️ 風險：若會話中 CUST_ID 變更，謂詞不會更新 → 資料洩露/錯誤隔離
-- 必須保證：登入後上下文不可變，或登出重登

進階主題

共享策略類型

SHARED_* 類型將謂詞快取於共享池 (Shared Pool)，而非私有 PGA。適合大量會話共用相同上下文值 (如多租戶 SaaS)，減少記憶體佔用與 CPU。需設定 SHARED_CONTEXT_SENSITIVE 時指定 NAMESPACE 參數。