sql - 使用 Oracle PL/SQL 存储过程授予对另一个用户表的权限

Question

我在执行以下操作时遇到问题:

• PL/SQL 包“A”包含应用程序的所有函数/过程
• “A”归“USER_A”所有
• 'A' 在 Oracle 中创建用户帐户，并在这些用户下创建表
• “A”还必须能够截断/插入用户表

注意 - 所有创建的表都在低安全性表空间中，我们称它为“MY_TS”。尽管此包在每个新用户的架构中创建用户和表，但“A”无权插入或截断这些表。 (Oracle 中的默认值？)

我正在尝试解决此问题的两种方法是:

1. 将 GRANT 语句回显到对 sqlplus 的命令行调用中，以作为新用户登录并向 USER_A 发出 GRANT ALL ON [table]，或者
2. 创建一个由具有 DBA 权限的帐户创建和拥有的单独过程(称为“B”)。此过程使用“AUTHID DEFINER”运行，并首先检查以确保该表在“MY TS”中，然后再运行 GRANT ALL ON [table] to USER_A 语句

我在使用方法 1 时遇到了障碍。在 Oracle 中输出命令显然不是那么容易(我对 SQL Server 有更多的接触，不建议调用命令 shell，但如果你愿意的话很容易!)，尽管我对命令行字符串的测试我正在完美地使用作品。

对于方法 #2，我编写了一个使用“AUTHID DEFINER”编译指示定义的过程“B”，并由具有 DBA 权限的帐户编译。此 proc 通过了表空间检查(limp security)，但在执行 GRANT 语句时返回错误“ORA-01929: no privileges to GRANT”，该语句是使用传递到“EXECUTE IMMEDIATE”命令的动态 SQL 构建的。

有人对另一种更有效的方法有任何建议，或者对这两种方法都有效(并通过 DBA 传递)的解决方案有任何建议吗？向 USER_A 授予更大的一揽子权利听起来不像是一种选择。

感谢任何提示/反馈!

丹

Answer 1

如果我提到在执行动态 SQL(立即执行)时不考虑通过角色获得的特权，可能会有帮助。如果“具有 DBA 权限的帐户”具有某些角色的这些权限，则它们不会用于您的动态授权声明；您需要明确向该帐户用户授予适当的权限。