DB2能否在存储过程内为入参用户授予角色？执行报未定义名称错误

报错核心原因 #

• DB2 在编译存储过程的静态SQL阶段，会直接把语句中的GRANT ROLE后面跟着的文本当成数据库实际存在的角色对象做存在性校验，不会识别成存储过程的入参变量
• 普通查询语句中入参可用于字段值比较的场景，是因为入参属于语句中的值占位位置，而权限语句中的角色名、用户名属于对象标识符位置，静态SQL不支持在这个位置直接引用存储过程变量
• 原代码中GRANT ROLE groupid TO USER userid属于静态权限语句，解析器直接将GROUPID作为要查找的角色名去匹配系统表，因为系统中不存在这个叫GROUPID的角色，才会抛出SQLCODE=-204、SQLSTATE=42704的未定义对象报错

正确实现逻辑 #

DB2 中涉及动态指定角色、用户的权限操作，不能直接用静态SQL嵌变量，必须拼接完整的授权语句字符串，通过动态SQL执行。
原错误代码：

CREATE OR REPLACE MYSCHEMA.PROCEDURE SP_CHECKIN_USER (
    IN userid varchar(9),
    IN groupid varchar(10)
) LANGUAGE SQL
BEGIN
    -- 静态语句无法识别入参，会把groupid、userid当实际对象名
    GRANT ROLE groupid TO USER userid;
END

修复后的可运行代码：

CREATE OR REPLACE MYSCHEMA.PROCEDURE SP_CHECKIN_USER (
    IN userid varchar(9),
    IN groupid varchar(10)
) LANGUAGE SQL
BEGIN
    DECLARE v_exec_sql VARCHAR(1000);
    -- 用入参实际值拼接完整授权语句
    SET v_exec_sql = 'GRANT ROLE ' || groupid || ' TO USER ' || userid;
    -- 动态执行拼接完成的授权语句
    EXECUTE IMMEDIATE v_exec_sql;
END

落地注意事项 #

• 拼接动态SQL前需增加入参合法性校验，避免SQL注入风险，比如校验传入的角色名、用户名是否符合DB2标识符命名规则，排除分号、引号等特殊字符
• 需确保存储过程的定义账户本身拥有对应角色的授予权限，否则动态执行授权语句时会触发权限不足报错
• 如果实际业务中的角色、用户名是带大小写区分、含特殊字符的自定义命名，拼接SQL时需要给入参值加上双引号，匹配对象创建时的定义格式

内容的提问来源于stack exchange，提问作者jayon