如何限制Oracle特定列仅允许Hibernate/Spring Boot连接写入（超级用户除外）

一、数据库层面控制 #

1. 撤销普通用户的列更新权限 #

直接收回普通业务用户对目标列的UPDATE权限，阻断直接修改路径：

-- 替换实际表名、列名、普通用户名
REVOKE UPDATE (target_column) FROM normal_db_user;

2. 创建事务验证触发器 #

通过触发器实现精准控制：仅允许标记为Spring Boot应用的会话，且处于事务中的操作修改目标列，同时豁免超级用户：

CREATE OR REPLACE TRIGGER trg_restrict_target_column
BEFORE UPDATE OF target_column ON target_table
FOR EACH ROW
DECLARE
    v_current_user VARCHAR2(30);
    v_client_info VARCHAR2(100);
BEGIN
    -- 获取当前操作用户
    SELECT USER INTO v_current_user FROM DUAL;
    
    -- 超级用户直接放行（按需调整用户列表）
    IF v_current_user IN ('SYS', 'SYSTEM', 'DB_ADMIN') THEN
        RETURN;
    END IF;
    
    -- 获取会话标记（Spring Boot应用连接时设置）
    SELECT SYS_CONTEXT('USERENV', 'CLIENT_INFO') INTO v_client_info FROM DUAL;
    
    -- 双重验证：必须是应用会话 + 处于事务中
    IF v_client_info != 'SPRING_BOOT_APP' OR DBMS_TRANSACTION.LOCAL_TRANSACTION_ID IS NULL THEN
        RAISE_APPLICATION_ERROR(-20001, "仅允许Spring Boot应用在事务中修改该列");
    END IF;
END;
/

二、Spring Boot应用配置 #

1. 标记应用数据库会话 #

在数据源配置中，为每个连接设置专属标识，让触发器识别应用会话：

# 以HikariCP为例，其他连接池需对应调整初始化SQL
spring.datasource.hikari.connection-init-sql=ALTER SESSION SET CLIENT_INFO = 'SPRING_BOOT_APP'

2. 强制事务约束 #

确保所有修改目标列的业务逻辑都在Spring事务中执行，用@Transactional标记服务方法：

@Service
public class TargetService {
    @Autowired
    private TargetRepository targetRepository;
    
    @Transactional(rollbackFor = Exception.class)
    public void updateTargetColumn(Long id, String newValue) {
        TargetEntity entity = targetRepository.findById(id)
                .orElseThrow(() -> new RuntimeException("数据不存在"));
        entity.setTargetColumn(newValue);
        targetRepository.save(entity);
    }
}

三、验证方案 #

• 普通用户直接修改：执行UPDATE target_table SET target_column = 'test' WHERE id = 1;会触发权限错误或触发器异常。
• 超级用户修改：可正常执行更新操作，不受限制。
• 应用事务内修改：调用上述服务方法，触发器验证通过，操作正常完成。
• 应用非事务修改：若未加@Transactional直接修改，触发器会拦截并抛出错误。

内容的提问来源于stack exchange，提问作者mehran arbabian