hi all
Дано:
1) таблица test, на выборку данных которой имеет право только ХП sp_test;
2) усер john_senior, лишенный всех прав, кроме вызова ХП sp_test;
3) усер mick_junior, лишенный всех прав;
Скрипт:
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
22.
23.
24.
25.
26.
27.
28.
29.
30.
31.
32.
33.
34.
35.
36.
37.
38.
39.
40.
41.
42.
43.
44.
45.
46.
47.
48.
49.
50.
51.
52.
53.
54.
55.
56.
57.
58.
59.
60.
61.
62.
63.
64.
65.
66.
67.
68.
69.
70.
71.
72.
73.
74.
75.
76.
77.
78.
-- Готовим базу:
shell del C:\FBTESTING\qa\fbt-repo\tmp\c0805.fdb 2>nul;
create database 'localhost/3333:C:\FBTESTING\qa\fbt-repo\tmp\c0805.fdb';
commit;
drop user john_senior;
drop user mick_junior;
commit;
create user john_senior password 'qwe';
create user mick_junior password '123';
commit;
create or alter procedure sp_test as
begin
end;
recreate table test(id int, x int);
commit;
insert into test values(1, 100);
commit;
set term ^;
create or alter procedure sp_test returns(id int, x int) as
begin
for select id, x from test into id, x do suspend;
end
^
set term ;^
revoke all on all from john_senior;
revoke all on all from mick_junior;
commit;
grant select on test to procedure sp_test;
grant execute on procedure sp_test to john_senior;
commit;
-- Теперь коннектимся от имени john_senior'a, который может вызывать ХП:
connect 'localhost/3333:C:\FBTESTING\qa\fbt-repo\tmp\c0805.fdb' user ' john_senior ' password 'qwe';
-- (эффект от коннекта от имени 'mick_junior'a будет таким же)
set list on;
set term ^;
-- Этот ЕВ отработает ОК
execute block returns(who_am_i varchar(31), what_is_my_role varchar(31), id int, x int) as
begin
for
execute statement
'select current_user, current_role, id, x from sp_test'
as user 'john_senior' password 'qwe'
into who_am_i, what_is_my_role, id, x
do
suspend;
end
^
-- А этот - обломается:
-- Statement failed, SQLSTATE = 28000
-- no permission for EXECUTE access to PROCEDURE SP_TEST
execute block returns(who_am_i varchar(31), what_is_my_role varchar(31), id int, x int) as
begin
for
execute statement
'select current_user, current_role, id, x from sp_test'
WITH CALLER PRIVILEGES
as user 'mick_junior' password '123'
into who_am_i, what_is_my_role, id, x
do
suspend;
end
^
set term ;^
Если выкинуть из output'a предупреждалки и сообщения об отсутствии учетных записей (в ответ на drop), то получим на консоли:
1.
2.
3.
4.
5.
6.
7.
WHO_AM_I JOHN_SENIOR
WHAT_IS_MY_ROLE NONE
ID 1
X 100
Statement failed, SQLSTATE = 28000
no permission for EXECUTE access to PROCEDURE SP_TEST
В
доке сказано:By default, the SQL statement
is executed with the privileges of the current user . Specifying WITH CALLER PRIVILEGES
adds to this the privileges of the calling SP or trigger, just as if the statement were executed directly by the routine.
В вышеприведенном скрипте:
1) "is executed with the privileges of the current user" -- это привилегии текущего усера, т.е. того, который указан в 'as user', а значит - это привилегии
mick_junior . На самом деле у него нет никаких привилегий (см выше);
2) "adds to this the privileges of the calling SP" -- это привилегии хранимой процедуры, т.е. это право на селект из таблицы 'test', которое дано было этой ХП.
Ну, и в где тут было "добавление привилегий" ? Почему 'mick_jounor' получил облом при выборке через ES, хотя там явно указано 'WITH CALLER PRIVILEGES' ?
