Oracle角色权限之Default Role
Oracle系统权限基础是建立在三个维度层面上，即系统权限（System Privilege）、对象权限（Object Privilege）和角色权限（Role Privilege）。系统权限定义了用户可以执行的某些行为操作；对象权限定义了用户在某个系统对象（如数据表、视图等）的操作权限；角色权限更像是一个容器对象，可以将一组系统权限、对象权限甚至其他角色权限容纳到其中。
三个维度权限在三个层面上构建了Oracle权限体系框架。传统应用系统的一种配置方式是在数据库层面建立用户，配置相关权限进行操作。这样的系统还可以在一些旧应用系统或者国外业务系统中看到。随着Web应用的广泛使用，Oracle权限体系需求的复杂性其实是在不断降低的。Web应用通常只需要连接一个Schema用户名即可，用户体系是在应用层面加以实现。
最近笔者遇到一个关于角色Role的问题，最后发现是一个Default Role这个经常被忽视的设置出现问题。本文主要系统介绍一下这个特点功能。
1、环境介绍
Oracle的权限体系在过去的版本中都在不断地发展丰富，笔者讨论基于Oracle 11g，具体版本号为11.2.0.4。
SQL> select * from v$version;
BANNER
--------------------------------------------------------------------------------
Oracle Database 11g Enterprise Edition Release 11.2.0.4.0 - 64bit Production
PL/SQL Release 11.2.0.4.0 - Production
CORE 11.2.0.4.0 Production
TNS for Linux: Version 11.2.0.4.0 - Production
NLSRTL Version 11.2.0.4.0 – Production
建立一个全新的用户。
SQL> create user test identified by test;
User created
2、Default Role概论
和系统权限、对象权限相比，角色权限是比较特殊的一种权限类型。它更像是一种组合容器，可以将其他权限以组Group的方式进行组织。一般来说，角色权限Role Privilege最常用的场景是简化管理难度，实现标准化配置管理。另一个角色权限的特点是动态赋予。系统权限和对象权限一旦赋予，用户只要登录就直接获得。而角色权限在这个问题上是可以选择的。
首先我们进行默认设置，对用户test进行一系列角色赋予动作。
SQL> grant connect, resource to test;
Grant succeeded
SQL> grant sicspccgrole to test;
Grant succeeded
SQL> grant sicspctbcgrole to test;
Grant succeeded
SQL> grant sicspctrrole to test;
Grant succeeded
通过视图db_role_privs，可以查看到角色与授予关系。
SQL> select * from dba_role_privs where GRANTEE='TEST';
GRANTEE GRANTED_ROLE ADMIN_OPTION DEFAULT_ROLE
------------------------------ ------------------------------ ------------ ------------
TEST RESOURCE NO YES
TEST SICSPCCGROLE NO YES
TEST SICSPCTBTRROLE NO YES
TEST CONNECT NO YES
TEST SICSPCTBCGROLE NO YES
TEST SICSPCTRROLE NO YES
6 rows selected
重点关注default_role列，对应test的几个权限，都被授予为default_role。换而言之，一个用户被赋予角色之后，直接就是默认角色即default role。
3、相关权限变化
如果角色对象底层权限发生变化，已经授权对象有什么影响呢？
SQL> create role testrole ;
Role created
SQL> grant select on sics.cnu_environment to testrole;
Grant succeeded
SQL> grant testrole to test;
Grant succeeded
此时新角色testrole被授予为default role。
SQL> select * from dba_role_privs where GRANTEE='TEST';
GRANTEE GRANTED_ROLE ADMIN_OPTION DEFAULT_ROLE
------------------------------ ------------------------------ ------------ ------------
TEST RESOURCE NO YES
TEST SICSPCCGROLE NO YES
TEST SICSPCTBTRROLE NO YES
TEST TESTROLE NO YES
TEST CONNECT NO YES
TEST SICSPCTBCGROLE NO YES
TEST SICSPCTRROLE NO YES
7 rows selected
Testrole底层发生变化。
SQL> grant select on scott.emp to testrole;
Grant succeeded
角色授权关系没有变化。
SQL> select * from dba_role_privs where GRANTEE='TEST';
GRANTEE GRANTED_ROLE ADMIN_OPTION DEFAULT_ROLE
------------------------------ ------------------------------ ------------ ------------
TEST RESOURCE NO YES
TEST SICSPCCGROLE NO YES
TEST SICSPCTBTRROLE NO YES
TEST TESTROLE NO YES
TEST CONNECT NO YES
TEST SICSPCTBCGROLE NO YES
TEST SICSPCTRROLE NO YES
7 rows selected
一些相关实验也证明，对于角色层面权限组的变化，不会影响到用户与角色的关系。
4、Default Role设置副效应
Default Role是可以单独设置的，但是一定要注意，一旦使用Default Role显式设置，会有一些副效应出现。
SQL> alter user test default role connect;
User altered
使用default role方法设置用户test为connect，之后观察视图。
SQL> select * from dba_role_privs where GRANTEE='TEST';
GRANTEE GRANTED_ROLE ADMIN_OPTION DEFAULT_ROLE
---------- ------------------------------ ------------ ------------
TEST RESOURCE NO NO
TEST SICSPCCGROLE NO NO
TEST SICSPCTBTRROLE NO NO
TEST TESTROLE NO NO
TEST CONNECT NO YES
TEST SICSPCTBCGROLE NO NO
TEST SICSPCTRROLE NO NO
7 rows selected
注意，除了设置默认角色的connect之后，其他test用户角色都成为非默认角色。也就是说：一旦进行显式设置，其他角色自动设置为非默认角色。
5、Default Role效果
设置之后，我们登录test进行效果观察。
SQL> conn test/test@sicsdb_linux
Connected to Oracle Database 11g Enterprise Edition Release 11.2.0.4.0
Connected as test
SQL> select * from user_role_privs;
USERNAME GRANTED_ROLE ADMIN_OPTION DEFAULT_ROLE OS_GRANTED
------------------------------ ------------------------------ ------------ ------------ ------------
TEST CONNECT NO YES NO
TEST RESOURCE NO NO NO
TEST SICSPCCGROLE NO NO NO
TEST SICSPCTBCGROLE NO NO NO
TEST SICSPCTBTRROLE NO NO NO
TEST SICSPCTRROLE NO NO NO
TEST TESTROLE NO NO NO
7 rows selected
在session层面，权限如下：
SQL> select * from session_roles;
ROLE
------------------------------
CONNECT
登录之后，只有default role才能进行赋予，其他角色权限不能自动添加。
--典型resource权限
SQL> create table t (id number(10));
create table t (id number(10))
ORA-01031: 权限不足
显示设置角色权限：
SQL> set role resource;
Role set
SQL> create table t (id number(10));
Table created
SQL> select * from session_roles;
ROLE
------------------------------
RESOURCE
设置其他角色之后，原有权限不能使用。
SQL> select * from session_roles;
ROLE
------------------------------
TESTROLE
SQL> create table m (id number(10));
create table m (id number(10))
ORA-01031: 权限不足
使用set role all，可以将所有角色权限一并赋予。
SQL> set role all;
Role set
SQL> select * from session_roles;
ROLE
------------------------------
CONNECT
RESOURCE
SICSPCCGROLE
SICSPCTRROLE
SICSPCTBCGROLE
SICSPCTBTRROLE
TESTROLE
7 rows selected
重新登录之后，依然是default role才能自动赋予。
SQL> conn test/test@sicsdb_linux
Connected to Oracle Database 11g Enterprise Edition Release 11.2.0.4.0
Connected as test
SQL> select * from session_roles;
ROLE
------------------------------
CONNECT
另外，使用set role all except xxx，可以将指定的role剔除。
SQL> set role all except resource;
Role set
SQL> select * from session_roles;
ROLE
------------------------------
CONNECT
SICSPCCGROLE
SICSPCTRROLE
SICSPCTBCGROLE
SICSPCTBTRROLE
TESTROLE
6 rows selected
6、结论
Oracle角色role权限是一种非常常用的授权机制，default role特性是我们经常忽视的一个问题知识点。
LHR@orclasm >
alter user test default role all;
User altered.
SYS@orclasm > select * from dba_role_privs where GRANTEE='TEST';
GRANTEE GRANTED_ROLE ADM DEF
------------------------------ ------------------------------ --- ---
TEST RESOURCE NO YES
TEST TESTROLE NO YES
TEST CONNECT NO YES