如何在SQL*Plus中通过视图控制权限并创建差异化访问视图

1. 如何在SQL*Plus中通过视图控制权限？ #

视图是管控数据访问权限的实用工具，核心思路就是用视图暴露用户需要的特定数据，仅给用户授予该视图的访问权限，而非直接开放基表权限——这样用户不仅看不到基表的完整内容，甚至可以完全隐藏基表的存在。具体操作步骤如下：

• 第一步：创建过滤后的视图
  根据权限需求编写SQL创建视图。比如你有一张employee_table，想让普通用户看不到薪资这类敏感字段，就可以这么创建：

  CREATE VIEW employee_public_view AS
  SELECT emp_id, emp_name, department, hire_date
  FROM employee_table;
  

• 第二步：授予视图访问权限
  用DBA账号（比如SYSTEM或SYS）在SQL*Plus中给目标用户授予视图的SELECT权限：

  GRANT SELECT ON employee_public_view TO regular_user;
  

  完成后regular_user只能查询这个视图，无法直接操作employee_table，自然也就接触不到敏感数据了。

• 额外提示：如果需要用户能通过视图修改数据，还可以授予INSERT/UPDATE/DELETE权限，但要注意视图定义得符合可更新要求（比如不能包含聚合函数、DISTINCT关键字等）。

2. 如何创建单个视图以限制不同用户对表内容的访问？ #

针对你说的场景——同一张表存储雇主和员工数据，要让雇主查看全部数据、员工仅能查看自身数据——可以利用Oracle的USER函数（自动返回当前登录的用户名）结合条件判断实现动态过滤，完全不用创建多个视图。

假设你的表结构大致如下：

CREATE TABLE company_users (
  user_id VARCHAR2(50),
  username VARCHAR2(50), -- 存储用户登录SQL*Plus的用户名，用来匹配当前登录身份
  emp_name VARCHAR2(100),
  department VARCHAR2(50),
  salary NUMBER(10,2),
  is_employer CHAR(1) DEFAULT 'N', -- 'Y'代表雇主，'N'代表普通员工
  is_employee CHAR(1) DEFAULT 'Y'
);

对应的视图创建SQL可以这么写：

CREATE VIEW user_data_view AS
SELECT *
FROM company_users
WHERE 
  -- 雇主身份：显示所有数据，同时验证当前登录用户确实是雇主
  (is_employer = 'Y' AND EXISTS (SELECT 1 FROM company_users WHERE username = USER AND is_employer = 'Y'))
  -- 员工身份：仅显示与当前登录用户名匹配的行
  OR (is_employee = 'Y' AND username = USER);

逻辑说明： #

• USER函数会自动获取当前登录SQL*Plus的用户名，员工登录时，视图只会返回username与当前登录名一致的行；
• 雇主登录时，只要其在表中的is_employer标记为'Y'，就能看到表内所有数据；
• 这个视图会根据登录用户的身份自动动态过滤数据，不用为不同用户单独创建视图。

权限配置： #

最后给雇主和员工用户都授予这个视图的SELECT权限即可：

-- 给雇主用户授权
GRANT SELECT ON user_data_view TO employer_user;
-- 给员工用户批量授权
GRANT SELECT ON user_data_view TO employee_user1, employee_user2;

这样不管是雇主还是员工，登录后查询user_data_view，都会看到符合自身权限的数据啦。

内容的提问来源于stack exchange，提问作者Jackob