关于Oracle EBS R12 表格XLA_TRANSACTION_ENTITIES 的安全策略(VPD)组研究

安全策略VPD技术是啥这里就不多说了，网上很多资料，说明很清楚的。这里说的是另外一个比较困惑的点：

对于一个(OBJECT_OWNER.)对象，如果同时存在多个安全策略组的设定，如何确定什么时候抓哪一个安全策略组的设定(WHERE CONDITION)？

例如，查询安全策略:

---安全策略：
SELECT * 
 FROM dba_policies DBA
WHERE dba.object_name = 'XLA_TRANSACTION_ENTITIES'; 

可以看到有5种安全策略之多。

在Toad里面执行语句：SELECT COUNT(*) FROM XLA_TRANSACTION_ENTITIES;

这个语句究竟会用到哪种安全策略？怎么选择？

具体如何研究的就不详细介绍了，我这里直接说结论(都是以XLA_TRANSACTION_ENTITIES作为例子的)。对这方面有兴趣研究的朋友可以验证一下我的结论：

对于一个(用户.对象)，如果同时存在多个安全策略组的设定，如何确定什么时候抓哪一个安全策略组的设定(WHERE CONDITION)？
1)其实是用上下文确定的。对应上下文设定查询的表格是：DBA_POLICY_CONTEXTS
特定的会话的上下文的值的查询：SYS_CONTEXT('XLA','SECURITY_GROUP')
根据上下文的值，就可以定位是用哪个安全性的组。

2)问题来了，如果没有定义上下文的值（就是SYS_CONTEXT('XLA','SECURITY_GROUP')为空）的情况下，如何知道用到哪个安全性的组？
通过测试得出，当安全性的上下文的组没有定义的话，它并不是用到哪个组，而是全部的组的限制条件都合并起来！
这点可以通过查询动态性能图：V$VPD_POLICY 得出结论。
当安全性的组的上下文留空的时候，对于同一个SQL和同一个子游标，V$VPD_POLICY 查询出来的是所有组的限制条件。

---结论：
以XLA_TRANSACTION_ENTITIES表为例子（貌似目前EBS就只有这个表格有多个安全性的策略。。。）
1)在客制化的报表等地方，如果确定要用到哪个安全性的策略，最好定位准确。
  定义的过程：XLA_CONTEXT_PKG.set_security_context('XLA');
2)如果没有定义的话，最好确认一下单条SQL，在执行的时候它会用到那些安全策略自动提供的限制条件。
 （如何确认？很简单，就直接在Toad里面执行，然后用V$VPD_POLICY 查询即可）
3)还要注意的一点是，毕竟在报表执行的SQL和在Toad执行的SQL的环境是不一样的，
  所以也可以用上下文查询的语句SYS_CONTEXT('XLA','SECURITY_GROUP')确定在报表执行的环境，它到底有没有限制安全性组。再做开发的决定！

---------------------相关查询语句部分：

---安全策略：
SELECT * 
 FROM dba_policies DBA
WHERE dba.object_name = 'XLA_TRANSACTION_ENTITIES'; 

--可以看到，上面对同一个对象，定义了好几种安全策略。什么时候用哪种？
SELECT * FROM DBA_POLICY_GROUPS

--其实是用上下文确定的；
SELECT * FROM DBA_POLICY_CONTEXTS

--这里查询上下文：
SELECT SYS_CONTEXT('XLA','SECURITY_GROUP') FROM DUAL

--查询上下文所定义的PKG：
SELECT * FROM ALL_OBJECTS WHERE OBJECT_NAME LIKE '%CONTEXT%' AND OBJECT_TYPE = 'PACKAGE'


XLA_CONTEXT_PKG

---设定上下文的值，做测试用：
BEGIN
XLA_CONTEXT_PKG.set_security_context('XLA');
END;

---根据安全策略的包和函数，找出对应的具体的应用的安全策略：
SELECT XLA_SECURITY_POLICY_PKG.MO_POLICY('APPS','XLA_TRANSACTION_ENTITIES') 
  FROM dual; 
  
SELECT XLA_SECURITY_POLICY_PKG.XLA_STANDARD_POLICY('XLA','XLA_TRANSACTION_ENTITIES') 
  FROM dual; 

--情况SQL共享池的信息，正式环境慎用！！！
--ALTER SYSTEM FLUSH SHARED_POOL;

---测试SQL：
SELECT COUNT(*)--SAMT5
 FROM XLA_TRANSACTION_ENTITIES WHERE ROWNUM <=10;
 
SELECT * FROM V$SQL WHERE SQL_TEXT LIKE 'SELECT COUNT(*)--SAMT5%'

SELECT * FROM TABLE(DBMS_XPLAN.DISPLAY_CURSOR('bc1c50j0969an',0,'ALL IOSTATS LAST'));

---V$SQLAREA包含当前位于共享池中的SQL语句，以及当前的执行统计。
SELECT * FROM V$VPD_POLICY WHERE OBJECT_NAME = 'XLA_TRANSACTION_ENTITIES' AND SQL_ID = 'bc1c50j0969an'