如何在另一Schema的PDB中通过PDB用户访问带VPD的表数据

核心原因 #

VPD策略基于DBName字段过滤数据，但PDB（PDBDB）环境中会话的容器名称是PDBDB，而VPDTable中存储的DBName值可能是CDB的名称DEVDB，两者不匹配导致过滤后无数据；同时原VPD策略仅在CDB层级对UserSchema生效，未覆盖PDB中的UserSchema_User用户上下文。

具体解决步骤 #

1. 修正VPD策略的过滤逻辑 #

先查看当前VPD策略的函数代码，确认是否硬编码了CDB名称：

-- 查询VPD策略关联的函数内容
SELECT text FROM dba_source WHERE name = '<你的VPD策略函数名>' AND type = 'FUNCTION';

如果函数中是固定匹配DBName = 'DEVDB'，修改为动态获取当前会话的容器名：

-- 示例：修改后的VPD过滤函数
CREATE OR REPLACE FUNCTION VPDSchema.vpd_filter_func (schema_name IN VARCHAR2, table_name IN VARCHAR2)
RETURN VARCHAR2 IS
BEGIN
  RETURN 'DBName = SYS_CONTEXT(''USERENV'', ''CON_NAME'')';
END;
/

2. 在PDB层级应用VPD策略 #

切换到PDBDB容器，为UserSchema_User用户单独添加VPD策略：

-- 切换目标PDB
ALTER SESSION SET CONTAINER = PDBDB;

-- 添加针对PDB用户的VPD策略
BEGIN
  DBMS_RLS.ADD_POLICY(
    object_schema => 'VPDSchema',
    object_name => 'VPDTable',
    policy_name => 'VPD_POLICY_PDB',
    function_schema => 'VPDSchema',
    policy_function => 'vpd_filter_func',
    user_name => 'UserSchema_User'
  );
END;
/

3. 验证数据与上下文匹配 #

在PDBDB中登录UserSchema_User，检查当前容器名和VPDTable中的对应数据：

-- 查看当前会话的容器名称
SELECT SYS_CONTEXT('USERENV', 'CON_NAME') FROM DUAL;

-- 临时禁用策略，验证PDBDB对应的数据是否存在
BEGIN
  DBMS_RLS.DISABLE_POLICY('VPDSchema', 'VPDTable', 'VPD_POLICY_PDB');
END;
/
SELECT * FROM VPDSchema.VPDTable WHERE DBName = 'PDBDB';

-- 验证后重新启用策略
BEGIN
  DBMS_RLS.ENABLE_POLICY('VPDSchema', 'VPDTable', 'VPD_POLICY_PDB');
END;
/

如果查询不到DBName='PDBDB'的记录，需向VPDTable中插入对应PDB的数据。

4. 确认PDB用户的访问权限 #

确保UserSchema_User在PDBDB中拥有VPDTable的查询权限：

ALTER SESSION SET CONTAINER = PDBDB;
GRANT SELECT ON VPDSchema.VPDTable TO UserSchema_User;

内容的提问来源于stack exchange，提问作者Dev123