12、数据库与应用程序的 discretionary 安全策略概述

数据库与应用程序的 discretionary 安全策略概述

在当今数字化的时代，数据库安全是一个至关重要的话题。它涉及到保护数据免受未经授权的访问、确保数据完整性和隐私等多个方面。接下来，我们将深入探讨数据库系统中的 discretionary 安全策略。

1. 访问控制策略

访问控制策略最初是为操作系统而研究的，核心问题是一个进程是否可以被授予对文件的访问权限，这种访问可以是读取或写入，写入访问还包括修改、追加或删除等操作。后来，这些原则被应用到了数据库系统中，如 Ingres 和 System R。目前，已经研究出了多种形式的访问控制策略，其中基于角色的访问控制策略在多个商业系统中得到了广泛应用。

1.1 授权策略

许多访问控制策略基于授权规则，即根据授权规则来决定用户是否可以访问数据。以下是几种常见的授权规则：
- 正授权 ：早期系统主要关注正授权规则，例如用户 John 被授予对关系 EMP 的访问权限，或者用户 Jane 被授予对关系 DEPT 的访问权限。也可以对其他实体（如属性和元组）授予访问权限，比如 John 对关系 EMP 中的 Salary 属性有读取权限，对 Name 属性有写入权限。写入权限包括追加、修改或删除操作。
- 负授权 ：如果没有明确指定 John 对某个对象的访问权限，那么在某些系统中，未指定的授权规则会被隐式地视为负授权；而在其他系统中，负授权需要明确指定。例如，可以规定 John 没有对关系 EMP 的访问权限，或者 Jane 没有对关系 DEPT 的访问权限。
- 冲突解决