本頁面說明使用容器自動調度管理工具部署選項的 AlloyDB Omni 18.4.0 版。選擇其他部署選項。

Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

使用 AlloyDB Omni 參數化安全檢視管理應用程式資料安全

您可以在 AlloyDB Omni 中使用參數化安全檢視表，根據應用程式專屬的具名參數 (例如應用程式使用者憑證)，限制資料存取權。參數化安全檢視表可擴充 PostgreSQL 檢視表的功能，進而提升安全性和存取控管。這些檢視畫面也會自動對執行的任何查詢強制執行限制，降低從應用程式執行不受信任查詢的風險。

詳情請參閱「參數化安全檢視總覽」和「使用參數化安全檢視保護及控管應用程式資料存取權」。

事前準備

AlloyDB AI 參數化檢視表支援是透過 parameterized_views 提供，這是 AlloyDB for PostgreSQL 擴充功能。

本頁面假設您已安裝 AlloyDB Omni。請參閱「安裝 AlloyDB Omni」(適用於容器、適用於 Kubernetes)。

使用參數化安全檢視前，您必須在每個新的 postgres 容器中執行下列操作一次。您可以使用 ALTER SYSTEM 套用各項設定，也可以直接編輯 postgresql.conf。

將 parameterized_views 新增到 shared_preload_libraries 中。
設定 parameterized_views.enabled=on 即可啟用這項功能。

重新啟動 PostgreSQL 伺服器，讓變更生效。

-- See the current shared_preload_libraries
SHOW shared_preload_libraries;
ALTER SYSTEM SET shared_preload_libraries="...,parameterized_views";
ALTER SYSTEM SET parameterized_views.enabled=on;

使用 psql，在要建立參數化檢視表的任何資料庫中，建立 parameterized_views 擴充功能：
```
-- Requires parameterized_views.enabled set to true
CREATE EXTENSION parameterized_views;
```
建立擴充功能時，系統也會建立名為 parameterized_views 的結構定義，以便將 API 納入該結構定義的命名空間，避免與現有 API 衝突。

建立參數化安全檢視

如要建立參數化安全檢視，請按照下列步驟操作：

執行 CREATE VIEW DDL 指令，如下例所示：
```
CREATE VIEW secure_checked_items WITH (security_barrier) AS
SELECT bag_id, timestamp, location
FROM checked_items t
WHERE customer_id = $@app_end_userid;
```
在上述範例中，參數化安全檢視允許存取名為 checked_items 的資料表中的三個資料欄。檢視表會將結果限制在 checked_items.customer_id 符合必要參數的資料列。請使用下列屬性：
- 使用 security_barrier 選項建立檢視表。
- 如要限制應用程式使用者，讓他們只能查看有權存取的資料列，請使用 $@PARAMETER_NAME 語法在檢視表定義中新增必要參數。常見的用途是使用 COLUMN = $@PARAMETER_NAME 檢查 WHERE 子句中的資料欄值。
- $@PARAMETER_NAME 表示具名檢視畫面參數。使用 execute_parameterized_query API 時，系統會提供這個值。具名檢視畫面參數須符合下列規定：
  - 命名檢視表參數開頭必須是英文字母 (a-z)。
  - 您可以使用帶有變音符號的字母和非拉丁字母，也可以使用底線 (_)。
  - 後續字元可以是英文字母、底線或數字 (0-9)。
  - 具名檢視表參數不得包含 $。
  - 具名檢視表參數區分大小寫。舉例來說，$@PARAMETER_NAME 的解讀方式與 $@parameter_name 不同。
將 view 的 SELECT 授予任何可查詢 view 的資料庫使用者。
將 USAGE 授予可查詢檢視區塊的任何資料庫使用者，該檢視區塊包含檢視區塊中定義的資料表。

詳情請參閱「使用參數化安全檢視表保護及控管應用程式資料存取權」。

設定應用程式的安全性

如要使用參數化安全檢視設定應用程式的安全性，請按照下列步驟操作：

以管理員使用者身分建立安全參數化檢視表。這個使用者是 AlloyDB Omni 資料庫使用者，負責執行應用程式的管理作業，包括資料庫設定和安全性管理。
建立新的資料庫角色，對參數化安全檢視表執行查詢。這是 AlloyDB Omni 資料庫角色，應用程式會使用這個角色連線及登入資料庫，並對參數化檢視表執行查詢。
將新角色權限授予安全檢視表，通常包括檢視表的 SELECT 權限和結構定義的 USAGE。
限制這個角色可存取的物件，僅限應用程式所需的最低限度公用函式和物件。避免提供非公開結構定義和資料表的存取權。
查詢檢視表時，應用程式會提供必要檢視表參數的值，這些值會與應用程式使用者身分連結。

查詢參數化安全檢視區塊

如要查詢參數化安全檢視區塊，請使用下列其中一個最符合您用途的選項：

JSON：使用這個 API 一次執行查詢，並傳回 JSON 資料列。
CURSOR-based：如果查詢執行時間較長，或查詢量較大，且您想分批擷取結果，請使用這個 API。parameterized_views 擴充功能提供的 execute_parameterized_query 函式會接受游標名稱。
PREPARE EXECUTE 陳述式：適用於可使用不同參數值多次執行的預先準備陳述式。

如要查詢參數化安全檢視，請使用 parameterized_views 擴充功能提供的 execute_parameterized_query() 函式。

JSON API

這個 API 會為指定查詢宣告游標，因此有相關限制。因此，查詢必須與 PostgreSQL 游標相容。例如，CURSOR API 不支援 DO 或 SHOW 陳述式。

此外，這項 API 也不會限制結果大小或傳回的資料列數量。

執行 execute_parameterized_query() 函式，語法如下：

SELECT * FROM
parameterized_views.execute_parameterized_query(
    query => SQL_QUERY,
    param_names => ARRAY [PARAMETER_NAMES],
    param_values => ARRAY [PARAMETER_VALUES]
)

更改下列內容：

SQL_QUERY：FROM 子句參照一或多個參數化安全檢視表的 SQL 查詢。
PARAMETER_NAMES：要以字串形式傳遞的參數名稱清單。
PARAMETER_VALUES：要傳入的參數值清單。
- 這個清單的大小必須與 param_names 清單相同，且值的順序必須與名稱的順序相符。
- 系統會根據查詢和參數化檢視表定義，推論值的確切類型。系統會在必要時，盡可能為指定參數值執行類型轉換。如果類型不符，系統會擲回錯誤。

函式會傳回 JSON 物件的表格。表格中的每一列都相當於原始查詢結果列的 ROW_TO_JSON() 值。

請參考以下範例，查詢參數化安全檢視：

SELECT * FROM
parameterized_views.execute_parameterized_query(
    query => 'SELECT * FROM secure_checked_items',
    param_names => ARRAY ['app_end_userid'],
    param_values => ARRAY ['40']
)

使用這個 API 時，結果集的大小會受到 API 限制，限制條件包括結果的大小 (以 KB 為單位) 和資料列數量。您可以使用 parameterized_views.json_results_max_size 和 parameterized_views.json_results_max_rows 設定這些限制。

這個 API 會為特定查詢宣告游標，因此有一些限制。因此，查詢必須與 PostgreSQL 指標相容。例如，CURSOR API 不支援 DO 或 SHOW 陳述式。

此外，這項 API 也不會限制結果大小或傳回的資料列數量。

執行 execute_parameterized_query() 函式，語法如下：

SELECT * FROM
parameterized_views.execute_parameterized_query(
    query => SQL_QUERY,
    param_names => ARRAY [PARAMETER_NAMES],
    param_values => ARRAY [PARAMETER_VALUES]
)

更改下列內容：

SQL_QUERY：FROM 子句參照一或多個參數化安全檢視表的 SQL 查詢。
PARAMETER_NAMES：要以字串形式傳入的參數名稱清單。
PARAMETER_VALUES：要傳入的參數值清單。
這個清單的大小必須與 param_names 清單相同，且值的順序必須與名稱的順序相符。
系統會根據查詢和參數化檢視表定義，推斷值的確切類型。系統會在必要時，盡可能為指定參數值執行類型轉換。如果類型不符，系統會擲回錯誤。

這個函式會傳回 JSON 物件資料表。表格中的每一列都相當於原始查詢結果列的 ROW_TO_JSON() 值。

請參考以下範例，查詢參數化安全檢視：

SELECT * FROM
parameterized_views.execute_parameterized_query(
    query => 'SELECT * FROM secure_checked_items',
    param_names => ARRAY ['app_end_userid'],
    param_values => ARRAY ['40']
)

CURSOR API

這個 API 會為特定查詢宣告游標，因此有一些限制。因此，查詢必須與 PostgreSQL 游標相容。舉例來說，CURSOR API 不支援 DO 或 SHOW 陳述式。

此外，這項 API 也不會限制結果大小或傳回的資料列數量。

執行 execute_parameterized_query() 函式，語法如下：

SELECT * FROM
parameterized_views.execute_parameterized_query(
    query => SQL_QUERY,
    param_names => ARRAY [PARAMETER_NAMES],
    param_values => ARRAY [PARAMETER_VALUES]
)

更改下列內容：

SQL_QUERY：FROM 子句參照一或多個參數化安全檢視表的 SQL 查詢。
PARAMETER_NAMES：要以字串形式傳遞的參數名稱清單。
PARAMETER_VALUES：要傳入的參數值清單。
- 這個清單的大小必須與 param_names 清單相同，且值的順序必須與名稱的順序相符。
- 系統會根據查詢和參數化檢視表定義，推論值的確切類型。系統會在必要時，盡可能為指定參數值執行類型轉換。如果類型不符，系統會擲回錯誤。

函式會傳回 JSON 物件的表格。表格中的每一列都相當於原始查詢結果列的 ROW_TO_JSON() 值。

請參考以下範例，查詢參數化安全檢視：

SELECT * FROM
parameterized_views.execute_parameterized_query(
    query => 'SELECT * FROM secure_checked_items',
    param_names => ARRAY ['app_end_userid'],
    param_values => ARRAY ['40']
)

PREPARE 陳述式

使用 PREPARE .. AS RESTRICTED 指令建立參照參數化檢視區塊的預先準備陳述式。這些預備陳述式支援位置參數，並在執行時強制執行各種限制。詳情請參閱「安全機制」。

這項功能會擴充 PREPARE 和 EXECUTE 指令，支援具名檢視區塊參數。使用預先準備好的陳述式，可避免每次執行陳述式時，都要剖析、分析及重寫，進而大幅提升效能，尤其是經常執行的查詢或複雜查詢。預備陳述式是伺服器端物件，可預先編譯及儲存參數化 SQL 陳述式，以便日後執行，進而提升效能。

這項 API 有限制，因為陳述式必須允許在PREPARE陳述式中，也就是說只支援 SELECT 和 VALUES 陳述式。

此外，這個 API 也不會依大小或傳回的資料列數量限制結果。

如要建立參照參數化檢視表的預備陳述式，請執行 PREPARE .. AS RESTRICTED 指令：

PREPARE pquery (/POSITIONAL_PARAM_TYPES/)
        AS RESTRICTED query % a query that may refer to parameterized views
EXECUTE pquery (/POSITIONAL_PARAM_VALUES/)
      WITH VIEW PARAMETERS (VIEW_PARAM_NAME1 = VIEW_PARAM_VALUE1[, ...]);

更改下列內容：

POSITIONAL_PARAM_TYPES：RESTRICTED 查詢中使用的一或多個位置參數。
POSITIONAL_PARAM_VALUES：實際值，用於替換 PREPARE 陳述式中定義的位置參數。
VIEW_PARAM_NAME：參數化檢視區塊預期的參數名稱，參照 RESTRICTED 查詢。
VIEW_PARAM_VALUE：實際傳遞至參數化檢視表對應 viewParamName 參數的值。

如要在預先準備好的陳述式中加入參數，請在 PREPARE 陳述式中提供資料型別清單。在準備的陳述式中，您可以使用 $1 和 $2 等位置來參照參數。

使用 EXECUTE .. WITH VIEW PARAMETERS 指令，執行先前透過 PREPARE .. AS RESTRICTED 指令建立的預備陳述式。如果建立陳述式的 PREPARE 陳述式指定了位置參數，則必須將一組相容的參數傳遞至 EXECUTE 陳述式。您必須在 WITH VIEW PARAMETERS 子句中，傳遞參數化檢視畫面所需的任何具名檢視畫面參數。

請參考以下範例，查詢參數化安全檢視：

PREPARE pquery (timestamp) AS RESTRICTED SELECT * FROM secure_checked_items WHERE timestamp > $1;

EXECUTE pquery (current_date - 1) WITH VIEW PARAMETERS (app_end_userid = 40);
EXECUTE pquery (current_date - 30) WITH VIEW PARAMETERS (app_end_userid = 40);

強制執行的查詢限制

下表列出使用「查詢參數化安全檢視區塊」一節所述選項執行查詢時，受限制的作業：

禁止任何 API 的遞迴叫用 (execute_parameterized_query 或使用 EXECUTE .. WITH VIEW PARAMETERS)，因此只會使用應用程式指定的值。這項限制也能防止查詢用於規避特定參數值組合的安全範圍。
系統不允許某些會啟動新背景工作階段的擴充功能，包括 dblink, pg_cron 和 pg_background 擴充功能。
以下列出允許使用的查詢結構元素，但有下列限制：
- 可使用唯讀 SELECT 陳述式。
- 系統允許使用唯讀 SHOW 陳述式、CALL 陳述式和 DO 陳述式。
- 不允許使用 INSERT, UPDATE 和 DELETE 等 DML 陳述式。
- 不允許使用 DDL 陳述式，例如 CREATE TABLE 和 ALTER TABLE。
- 不允許使用其他陳述式類型，例如 LOAD, SET, CLUSTER, LOCK, CHECKPOINT 和 EXPLAIN。
系統不允許 EXPLAIN 陳述式，以免有人利用查詢計畫發動隱蔽通道攻擊。詳情請參閱「隱蔽通道」。
參數化安全檢視提供相關設定，協助您管理 API 用來查詢參數化檢視的資源，例如 parameterized_views.statement_timeout。詳情請參閱「AlloyDB for PostgreSQL 旗標」。

列出所有參數化檢視區塊

使用 parameterized_views 擴充功能，透過 all_parameterized_views 檢視表列出資料庫中所有參數化檢視表。這個檢視畫面的輸出內容與 pg_views 目錄檢視畫面相同，但 all_parameterized_views 只會列出含有具名檢視畫面參數的檢視畫面。

如要列出參數化檢視表，請使用下列範例：

postgres=# select * from parameterized_views.all_parameterized_views ;
schemaname |      viewname      | viewowner |                       definition
-----------+--------------------+-----------+---------------------------------------------------------
public     | checked_items_view | postgres  |  SELECT checked_items.bag_id,                          +
           |                    |           |     checked_items."timestamp",                         +
           |                    |           |     checked_items.location                             +
           |                    |           |    FROM checked_items                                  +
           |                    |           |   WHERE (checked_items.customer_id = $@app_end_userid);

如要在 all_parameterized_views 中列出參數化檢視表，請確認參數化檢視表的定義中至少包含一個具名檢視表參數。

後續步驟

瞭解參數化安全檢視。
瞭解如何使用參數化安全檢視表，保護及控管應用程式資料的存取權。

使用 AlloyDB Omni 參數化安全檢視管理應用程式資料安全 透過集合功能整理內容 你可以依據偏好儲存及分類內容。

事前準備

建立參數化安全檢視

設定應用程式的安全性

查詢參數化安全檢視區塊

JSON API

CURSOR API

PREPARE 陳述式

強制執行的查詢限制

列出所有參數化檢視區塊

後續步驟

使用 AlloyDB Omni 參數化安全檢視管理應用程式資料安全