PostgreSQL ਵਿੱਚ ਰੋਲ ਲੈਵਲ ਸੁਰੱਖਿਆ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਰੋਲ ਅਧਾਰਤ ਐਕਸੈਸ ਮਾਡਲ ਲਾਗੂ ਕਰਨਾ

ਥੀਮ ਵਿਕਾਸ PostgreSQL ਵਿੱਚ ਕਤਾਰ ਪੱਧਰ ਦੀ ਸੁਰੱਖਿਆ ਨੂੰ ਲਾਗੂ ਕਰਨ 'ਤੇ ਅਧਿਐਨ ਕਰੋ и ਵਿਸਤ੍ਰਿਤ ਜਵਾਬ ਲਈ 'ਤੇ ਇੱਕ ਟਿੱਪਣੀ.

ਵਰਤੀ ਗਈ ਰਣਨੀਤੀ ਵਿੱਚ "ਡੇਟਾਬੇਸ ਵਿੱਚ ਵਪਾਰਕ ਤਰਕ" ਸੰਕਲਪ ਦੀ ਵਰਤੋਂ ਸ਼ਾਮਲ ਹੈ, ਜਿਸਦਾ ਇੱਥੇ ਥੋੜਾ ਹੋਰ ਵਿਸਥਾਰ ਵਿੱਚ ਵਰਣਨ ਕੀਤਾ ਗਿਆ ਹੈ - PostgreSQL ਸਟੋਰ ਕੀਤੇ ਫੰਕਸ਼ਨਾਂ ਦੇ ਪੱਧਰ 'ਤੇ ਵਪਾਰਕ ਤਰਕ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦਾ ਅਧਿਐਨ ਕਰੋ

ਸਿਧਾਂਤਕ ਭਾਗ ਨੂੰ ਦਸਤਾਵੇਜ਼ ਵਿੱਚ ਚੰਗੀ ਤਰ੍ਹਾਂ ਦਰਸਾਇਆ ਗਿਆ ਹੈ PostgreSQL - ਕਤਾਰ ਸੁਰੱਖਿਆ ਨੀਤੀਆਂ. ਹੇਠਾਂ ਇੱਕ ਵਿਹਾਰਕ ਅਮਲ ਹੈ ਇੱਕ ਖਾਸ ਕਾਰੋਬਾਰੀ ਕੰਮ - ਡੇਟਾ ਐਕਸੈਸ ਲਈ ਇੱਕ ਰੋਲ ਮਾਡਲ।

ਲੇਖ ਵਿੱਚ ਕੋਈ ਨਵੀਂ ਗੱਲ ਨਹੀਂ ਹੈ, ਕੋਈ ਗੁਪਤ ਅਰਥ ਅਤੇ ਗੁਪਤ ਗਿਆਨ ਨਹੀਂ ਹੈ। ਇੱਕ ਸਿਧਾਂਤਕ ਵਿਚਾਰ ਦੇ ਵਿਹਾਰਕ ਲਾਗੂ ਕਰਨ ਬਾਰੇ ਸਿਰਫ ਇੱਕ ਸਕੈਚ. ਜੇ ਕੋਈ ਦਿਲਚਸਪੀ ਰੱਖਦਾ ਹੈ, ਤਾਂ ਪੜ੍ਹੋ. ਜੇਕਰ ਤੁਹਾਨੂੰ ਕੋਈ ਦਿਲਚਸਪੀ ਨਹੀਂ ਹੈ, ਤਾਂ ਆਪਣਾ ਸਮਾਂ ਬਰਬਾਦ ਨਾ ਕਰੋ।

ਸਮੱਸਿਆ ਦਾ ਗਠਨ

ਐਪਲੀਕੇਸ਼ਨ ਉਪਭੋਗਤਾ ਦੀ ਭੂਮਿਕਾ ਦੇ ਅਨੁਸਾਰ ਦਸਤਾਵੇਜ਼ ਨੂੰ ਵੇਖਣ/ਸੰਮਿਲਿਤ ਕਰਨ/ਸੋਧਣ/ਮਿਟਾਉਣ ਤੱਕ ਪਹੁੰਚ ਨੂੰ ਸੀਮਤ ਕਰਨਾ ਜ਼ਰੂਰੀ ਹੈ। ਭੂਮਿਕਾ ਇੱਕ ਸਾਰਣੀ ਵਿੱਚ ਇੱਕ ਐਂਟਰੀ ਨੂੰ ਦਰਸਾਉਂਦੀ ਹੈ ਰੋਲ ਇੱਕ ਸਾਰਣੀ ਦੇ ਨਾਲ ਕਈ-ਤੋਂ-ਕਈ ਰਿਸ਼ਤੇ ਨਾਲ ਜੁੜਿਆ ਹੋਇਆ ਹੈ ਉਪਭੋਗੀ. ਟੇਬਲ ਦੇ ਲਾਗੂ ਕਰਨ ਦੇ ਵੇਰਵੇ, ਮਾਮੂਲੀ ਕਾਰਨ, ਛੱਡ ਦਿੱਤੇ ਗਏ ਹਨ. ਵਿਸ਼ੇ ਖੇਤਰ ਨਾਲ ਸਬੰਧਤ ਖਾਸ ਲਾਗੂ ਕਰਨ ਦੇ ਵੇਰਵੇ ਵੀ ਛੱਡ ਦਿੱਤੇ ਗਏ ਹਨ।

Реализация

ਰੋਲ, ਸਕੀਮਾ, ਟੇਬਲ ਬਣਾਓ

ਡਾਟਾਬੇਸ ਆਬਜੈਕਟ ਬਣਾਉਣਾ

CREATE ROLE store;
CREATE SCHEMA store AUTHORIZATION store;
CREATE TABLE store.docs
(
  id integer ,         --id документа
  man_id integer , --id менеджера документа
  stat_id integer ,  --id статуса документа
  ...
  is_del BOOLEAN DEFAULT FALSE 
);
ALTER TABLE store.docs ADD CONSTRAINT doc_pk PRIMARY KEY (id);
ALTER TABLE store.docs OWNER TO store ;

RLS ਨੂੰ ਲਾਗੂ ਕਰਨ ਲਈ ਫੰਕਸ਼ਨ ਬਣਾਉਣਾ

SELECT ਕਤਾਰਾਂ ਕਰਨ ਦੀ ਯੋਗਤਾ ਦੀ ਜਾਂਚ ਕੀਤੀ ਜਾ ਰਹੀ ਹੈ

ਚੈਕ_ਚੋਣ

CREATE OR REPLACE FUNCTION store.check_select ( current_id store.docs.id%TYPE ) RETURNS boolean AS $$
DECLARE
  result boolean ;
  curr_pid integer ;
  curr_stat_id integer ;
  doc_man_id integer ;
BEGIN 
  -- DBA имеет доступ ко всем документам
  IF SESSION_USER = 'curr_dba'
  THEN
    RETURN TRUE ;
  END IF ;
  --------------------------------

  --Если документ имеет метку 'удален' - не показывать в выборке
  SELECT
    is_del
  INTO
    result
  FROM
    store.docs
  WHERE
    id = current_id ;
 IF result = TRUE
 THEN
   RETURN FALSE ;
 END IF ;
 --------------------------------

 --Получить id текущего пользователя
 SELECT
   service_function.get_curr_pid ()
 INTO
   curr_pid ;
 --------------------------------

 --Получить id менеджера документа
 SELECT
   man_id
 INTO
   doc_man_id
 FROM
   store.docs
 WHERE
   id = current_id ;
 --------------------------------

 --Если менеджер документа не текущий пользователь или менеджер не назначен
 --добавить документ в выборку
 IF doc_man_id != curr_pid OR doc_man_id IS NULL
 THEN
   RETURN TRUE  ;
 ELSE
   --Получить текущий статус документа
   SELECT
     stat_id                                         
   INTO
     curr_statid
   FROM
     store.docs
   WHERE
     id = current_id ;
    
   --Если статус позволяет просмотреть документ - добавить документ в выборку                     
   IF curr_statid = 4 OR curr_statid = 9
   THEN
     RETURN TRUE ;
   ELSE
   --Иначе - исключить документ из выборки
     RETURN FALSE ;
    END IF ;
  END IF ;
  --------------------------------

 RETURN FALSE ;
END
$$ LANGUAGE plpgsql SECURITY DEFINER;
ALTER FUNCTION store.check_select( store.docs.id%TYPE  ) OWNER TO store ;
REVOKE EXECUTE ON FUNCTION store.check_select( store.docs.id%TYPE  ) FROM public; 
GRANT EXECUTE ON FUNCTION store.check_select( store.docs.id%TYPE  ) TO service_functions; 

ਕਤਾਰਾਂ ਨੂੰ ਸ਼ਾਮਲ ਕਰਨ ਦੀ ਯੋਗਤਾ ਦੀ ਜਾਂਚ ਕੀਤੀ ਜਾ ਰਹੀ ਹੈ

check_insert

CREATE OR REPLACE FUNCTION store.check_insert ( current_id store.docs.id%TYPE ) RETURNS boolean AS $$
DECLARE
  curr_role_id integer ;
BEGIN
  --DBA может добавлять строку в любом случае
  IF SESSION_USER = 'curr_dba'
  THEN
    RETURN TRUE ;
  END IF ;
  --------------------------------

 --Получить id роли текущего пользователя 
 SELECT
   service_functions.current_rid()
  INTO
    curr_role_id ;
 --------------------------------

--Если роль допускает возможность создания нового документа
--разрешить
IF curr_role_id = 3 OR curr_role_id = 5     
THEN
  RETURN TRUE ;
END IF ;
--------------------------------
RETURN FALSE  ;
END
$$ LANGUAGE plpgsql SECURITY DEFINER;
ALTER FUNCTION store.check_insert( store.docs.id%TYPE  ) OWNER TO store ;
REVOKE EXECUTE ON FUNCTION store.check_insert( store.docs.id%TYPE  ) FROM public;
GRANT EXECUTE ON FUNCTION store.check_insert( store.docs.id%TYPE  ) TO service_functions; 

ਇੱਕ ਕਤਾਰ ਨੂੰ ਮਿਟਾਉਣ ਦੀ ਯੋਗਤਾ ਦੀ ਜਾਂਚ ਕੀਤੀ ਜਾ ਰਹੀ ਹੈ

check_delete

CREATE OR REPLACE FUNCTION store.check_delete ( current_id store.docs.id%TYPE )
RETURNS boolean AS $$
BEGIN  
  --Только DBA может удалять строку 
  IF SESSION_USER = 'curr_dba'
  THEN
    RETURN TRUE ;
  END IF ;
  --------------------------------

  RETURN FALSE ;
END
$$ LANGUAGE plpgsql
SECURITY DEFINER;
ALTER FUNCTION store.check_delete( store.docs.id%TYPE  ) OWNER TO store ;
REVOKE EXECUTE ON FUNCTION store.check_delete( store.docs.id%TYPE  ) FROM public;

ਇੱਕ ਕਤਾਰ ਨੂੰ ਅੱਪਡੇਟ ਕਰਨ ਦੀ ਯੋਗਤਾ ਦੀ ਜਾਂਚ ਕੀਤੀ ਜਾ ਰਹੀ ਹੈ।

update_using

CREATE OR REPLACE FUNCTION store.update_using ( current_id store.docs.id%TYPE , is_del boolean  )
RETURNS boolean AS $$
BEGIN  
   --Документы имеющие статус 'удален' - не редактируются
   IF is_del 
   THEN
     RETURN FALSE ;
 ELSE
    RETURN TRUE ;
  END IF ;

END
$$ LANGUAGE plpgsql SECURITY DEFINER;
ALTER FUNCTION store.update_using(  store.docs.id%TYPE ,  boolean  ) OWNER TO store ;
REVOKE EXECUTE ON FUNCTION store.update_using(  store.docs.id%TYPE ,  boolean  ) FROM public;
GRANT EXECUTE ON FUNCTION store.update_using( store.docs.id%TYPE  ) TO service_functions;

update_check

CREATE OR REPLACE FUNCTION store.update_with_check ( current_id store.docs.id%TYPE , is_del boolean )
RETURNS boolean AS $$
DECLARE
  current_rid integer ;
  current_statid integer ;
BEGIN                

  --DBA может просматривать строку 
  IF SESSION_USER = 'curr_dba'
  THEN
    RETURN TRUE ;
  END IF ;
  --------------------------------

 --Получить id роли текущего пользователя 
 SELECT
   service_functions.current_rid()
  INTO
    curr_role_id ;
 --------------------------------                            

 --Удаление документа - изменение признака 
 IF is_deleted
 THEN
   --Если роль пользователя ***
   IF current_role_id = 3        
   THEN
      SELECT
        stat_id                                          
      INTO
        curr_statid
      FROM
        store.docs
      WHERE
        id = current_id ;

      --Документ в статусе *** нельзя удалить 
      IF current_status_id = 11
      THEN
         RETURN FALSE ;
      ELSE
      --Можно удалить документ в других статусах
        RETURN TRUE ;
      END IF ;

    --Иначе , если роль пользователя ***
    ELSIF current_role_id = 5            
    THEN
      --Все статусы документа 
      RETURN TRUE ;
    ELSE
      --Другие пользователи не могут удалять документы
      RETURN FALSE ;
    END IF ;
 ELSE      
   --Обновление документа разрешено
    RETURN TRUE ;
END IF ;

RETURN FALSE ;
END
$$ LANGUAGE plpgsql SECURITY DEFINER;
ALTER FUNCTION store.update_with_check( storg.docs.id%TYPE ,  boolean   ) OWNER TO store ;
REVOKE EXECUTE ON FUNCTION store.update_with_check( storg.docs.id%TYPE ,  boolean   )  FROM public;
GRANT EXECUTE ON FUNCTION store.update_with_check( store.docs.id%TYPE  ) TO service_functions;

ਇੱਕ ਸਾਰਣੀ ਲਈ ਕਤਾਰ ਪੱਧਰ ਸੁਰੱਖਿਆ ਨੀਤੀ ਨੂੰ ਸਮਰੱਥ ਬਣਾਓ।

ਕਤਾਰ ਪੱਧਰ ਦੀ ਸੁਰੱਖਿਆ ਨੂੰ ਸਮਰੱਥ ਬਣਾਓ

ALTER TABLE store.docs ENABLE ROW LEVEL SECURITY ;

CREATE POLICY doc_select ON store.docs FOR SELECT TO service_functions USING ( (SELECT store.check_select(id)) );
CREATE POLICY doc_insert ON store.docs FOR INSERT TO service_functions WITH CHECK ( (SELECT store.check_insert(id)) );
CREATE POLICY docs_delete ON store.docs FOR DELETE TO service_functions USING ( (SELECT store.check_delete(id)) );

CREATE POLICY doc_update_using ON store.docs FOR UPDATE TO service_functions USING ( (SELECT store.update_using(id , is_del )) );
CREATE POLICY doc_update_check ON store.docs FOR UPDATE TO service_functions  WITH CHECK ( (SELECT store.update_with_check(id , is_del )) );

ਨਤੀਜਾ

ਇਹ ਕੰਮ ਕਰਦਾ ਹੈ.

ਪ੍ਰਸਤਾਵਿਤ ਰਣਨੀਤੀ ਨੇ ਰੋਲ ਮਾਡਲ ਦੇ ਲਾਗੂਕਰਨ ਨੂੰ ਵਪਾਰਕ ਫੰਕਸ਼ਨਾਂ ਦੇ ਪੱਧਰ ਤੋਂ ਡਾਟਾ ਸਟੋਰੇਜ ਪੱਧਰ ਤੱਕ ਤਬਦੀਲ ਕਰਨਾ ਸੰਭਵ ਬਣਾਇਆ ਹੈ।

ਫੰਕਸ਼ਨਾਂ ਨੂੰ ਵਧੇਰੇ ਵਧੀਆ ਡੇਟਾ ਛੁਪਾਉਣ ਵਾਲੇ ਮਾਡਲਾਂ ਨੂੰ ਲਾਗੂ ਕਰਨ ਲਈ ਇੱਕ ਨਮੂਨੇ ਵਜੋਂ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ ਜੇਕਰ ਵਪਾਰਕ ਲੋੜਾਂ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ।

ਸਰੋਤ: www.habr.com