只禁止使用DBMS函數(shù)，能否完全保證系統(tǒng)的安全？請問

ashlv

因為最近在做一個小項目，目的就是要把系統(tǒng)里面的所有表，以客戶容易理解的方式提供給客戶使用，這些客戶一般都是公司里的領(lǐng)導(dǎo)，所以要做到盡可能的容易擴展，參數(shù)什么的就不能使用PreparedStatement了
雖然查詢是提供全面的權(quán)限，但是在修改或刪除時希望做限制
因此客戶能夠使用的SQL只能是select開頭
另外系統(tǒng)中包含了insert,delete,alter system kill session等開頭的操作一般客戶是不能生成這樣的語句的，也就是說系統(tǒng)有這個權(quán)限，但是希望用戶不要跨越了自己的權(quán)限，只要使用select 就好
偶測試了一下，jdbc中select是不支持使用;分割的多條語句同時提交，同時我也禁止了語句中包含dbms_字樣的任何語句，請問這樣能保證安全嗎？謝謝

tanyangxf

回復(fù) 1# ashlv


    既然客戶的sql只能是select開頭，為什么不只給客戶查詢權(quán)限呢？

ashlv

回復(fù) 2# tanyangxf


    謝謝
因為這個系統(tǒng)，對于一些復(fù)雜的查詢語句會按照一定的規(guī)則進行SQL的拆分和重構(gòu)，有時還會使用臨時表來進行優(yōu)化，避免一些很難使用HINTS優(yōu)化的語句直接就掛掉，而因為使用了連接池這個臨時表還不能使用global temporary這樣?xùn)|西，所以需要insert 和delete來處理，還有就是這個還需要支持一個保存當(dāng)前查詢方便日后直接調(diào)用或編輯的功能，所以也需要insert 和delete還有update

renxiao2003

做好權(quán)限處理，應(yīng)該可以的。

〇〇

不利用Oracle已有的功能，自己開發(fā)很麻煩

h200952709

{:3_182:}{:3_182:}{:3_182:}{:3_182:}{:3_182:}