限制用户不能执行DDL

最新推荐文章于 2022-12-13 20:38:49 发布

ryan_gao

最新推荐文章于 2022-12-13 20:38:49 发布

阅读量1.5k

点赞数

CC 4.0 BY-SA版权

分类专栏： Oracle 文章标签： oracle ddl forbiden

本文链接：https://blog.youkuaiyun.com/ryan_gao/article/details/22579825

Oracle 专栏收录该内容

9 篇文章

订阅专栏

本文介绍如何使用触发器限制SQL用户仅执行DML操作，而不允许执行DDL操作，如创建表或其他数据库对象。通过创建特定的触发器，可以确保除sys用户外的所有用户在尝试执行DDL操作时收到权限不足的错误。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

有时候我们需要对用户进行限制，只允许做DML操作，不允许做任何DDL，例如创建一个最简单的用户如下：

create user test identified by passed;
grant connect to test;
grant unlimited tablespace to test;

这样，当用户test试图创建表或者其他对象的时候就会收到ORA-01031权限不足的错误信息，但test用户对自己schema下的表仍然有修改或者删除的权限，这个权限无法取消。只能通过系统触发器来实现：

CREATE OR REPLACE TRIGGER TRG_FORBIDDEN_DDL
before DDL on database
declare
       username varchar2(25);     
 begin
      select ora_login_user into username from dual;    
       if (username not in ('SYS' )) then 
          raise_application_error(- 20000,username || '用户不允许执行DDL. (' || ora_sysevent || ')');
    end if;
 end;

除了sys外任何用户（即使有DBA权限也不行）执行DDL都会收到以下错误信息：

ORA-00604: error occurred at recursive SQL level 1
ORA-20000: TEST用户不允许执行DDL. (CREATE)

括号里面的文字根据用户的DDL操作不同而不同，这就达到了除了sys之外一律不允许执行DDL语句的效果。