本頁面說明如何使用 RPM 部署選項，部署 AlloyDB Omni 18.4.0 版。選擇其他部署選項。

Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

使用 AlloyDB Omni 參數化安全檢視管理應用程式資料安全

您可以在 AlloyDB Omni 中使用參數化安全檢視區塊，根據應用程式專用的具名參數 (例如應用程式使用者憑證)，限制資料存取權。參數化安全檢視區塊可擴充 PostgreSQL 檢視區塊的功能，進而提升安全性和存取控管。這些檢視畫面也會自動對執行的任何查詢強制執行限制，降低從應用程式執行不受信任查詢的風險。

詳情請參閱「參數化安全檢視表總覽」和「使用參數化安全檢視表保護及控管應用程式資料存取權」。

事前準備

AlloyDB AI 參數化檢視區塊支援功能是透過 parameterized_views 提供，這是 AlloyDB for PostgreSQL 擴充功能。

本頁面假設您已安裝 AlloyDB Omni。請參閱「在 Linux 上安裝 AlloyDB Omni」。

使用參數化安全檢視前，您必須在 Linux 環境中完成下列步驟。您可以使用 ALTER SYSTEM 套用各項設定，也可以直接編輯 postgresql.conf。

將 parameterized_views 新增到 shared_preload_libraries 中。
設定 parameterized_views.enabled=on 即可啟用這項功能。

重新啟動 PostgreSQL 伺服器，讓變更生效。

-- See the current shared_preload_libraries
SHOW shared_preload_libraries;
ALTER SYSTEM SET shared_preload_libraries="...,parameterized_views";
ALTER SYSTEM SET parameterized_views.enabled=on;

使用 psql，在要建立參數化檢視表的任何資料庫中，建立 parameterized_views 擴充功能：
```
-- Requires parameterized_views.enabled set to true
CREATE EXTENSION parameterized_views;
```
建立擴充功能時，系統也會建立名為 parameterized_views 的結構定義，以便將 API 納入該結構定義的命名空間，避免 API 與現有 API 發生衝突。

建立參數化安全檢視區塊

如要建立參數化安全檢視，請按照下列步驟操作：

執行 CREATE VIEW DDL 指令，如下例所示：
```
CREATE VIEW secure_checked_items WITH (security_barrier) AS
SELECT bag_id, timestamp, location
FROM checked_items t
WHERE customer_id = $@app_end_userid;
```
在上述範例中，參數化安全檢視允許存取名為 checked_items 的資料表中的三個資料欄。這個檢視畫面會將結果限制為 checked_items.customer_id 符合必要參數的資料列。請使用下列屬性：
- 使用 security_barrier 選項建立檢視表。
- 如要限制應用程式使用者，讓他們只能查看允許存取的資料列，請使用 $@PARAMETER_NAME 語法，在檢視定義中新增必要參數。常見的用途是使用 COLUMN = $@PARAMETER_NAME 檢查 WHERE 子句中的資料欄值。
- $@PARAMETER_NAME 表示具名檢視區塊參數。使用 execute_parameterized_query API 時，系統會提供這個值。具名檢視畫面參數須符合下列規定：
  - 具名檢視區塊參數的開頭必須是英文字母 (a-z)。
  - 您可以使用帶有變音符號的字母和非拉丁字母，也可以使用底線 (_)。
  - 後續字元可以是英文字母、底線或數字 (0-9)。
  - 具名檢視區塊參數不得包含 $。
  - 具名檢視區塊參數會區分大小寫。舉例來說，$@PARAMETER_NAME 的解讀方式與 $@parameter_name 不同。
將 view 的 SELECT 授予任何可查詢 view 的資料庫使用者。
將 USAGE 授予可查詢檢視區塊的任何資料庫使用者，該檢視區塊包含檢視區塊中定義的資料表。

詳情請參閱「使用參數化安全檢視表保護及控管應用程式資料存取權」。

設定應用程式的安全性

如要使用參數化安全檢視表設定應用程式安全性，請按照下列步驟操作：

以管理員使用者身分建立安全參數化檢視表。這位使用者是 AlloyDB Omni 資料庫使用者，負責執行應用程式的管理作業，包括資料庫設定和安全性管理。
建立新的資料庫角色，針對參數化安全檢視區塊執行查詢。這是 AlloyDB Omni 資料庫角色，應用程式會使用這個角色連線及登入資料庫，並對參數化檢視表執行查詢。
將新角色權限授予安全檢視表，通常包括檢視表的 SELECT 權限和結構定義的 USAGE。
限制這個角色可存取的物件，僅限應用程式所需的最低限度公用函式和物件。避免提供非公開結構定義和資料表的存取權。
查詢檢視表時，應用程式會提供必要檢視表參數的值，這些值會與應用程式使用者身分連結。

查詢參數化安全檢視區塊

如要查詢參數化安全檢視區塊，請使用下列其中一個最符合您用途的選項：

以 JSON 為基礎：使用這個 API 一次執行查詢，並傳回 JSON 列。
CURSOR-based：如果查詢執行時間較長，或查詢量較大，且您想分批擷取結果，請使用這個 API。parameterized_views 擴充功能提供的 execute_parameterized_query 函式會接受游標名稱。
PREPARE EXECUTE 陳述式：用於預先準備的陳述式，可使用不同的參數值多次執行。

如要查詢參數化安全檢視，請使用 parameterized_views 擴充功能提供的 execute_parameterized_query() 函式。

JSON API

這個 API 會為特定查詢宣告游標，因此有一些限制。因此，查詢必須與 PostgreSQL 游標相容。舉例來說，CURSOR API 不支援 DO 或 SHOW 陳述式。

此外，這項 API 也不會限制結果大小或傳回的資料列數量。

執行 execute_parameterized_query() 函式，語法如下：

SELECT * FROM
parameterized_views.execute_parameterized_query(
    query => SQL_QUERY,
    param_names => ARRAY [PARAMETER_NAMES],
    param_values => ARRAY [PARAMETER_VALUES]
)

更改下列內容：

SQL_QUERY：FROM 子句參照一或多個參數化安全檢視表的 SQL 查詢。
PARAMETER_NAMES：要以字串形式傳入的參數名稱清單。
PARAMETER_VALUES：要傳遞的參數值清單。
- 這份清單的大小必須與 param_names 清單相同，且值的順序必須與名稱的順序相符。
- 系統會從查詢和參數化檢視定義推斷值的確切類型。系統會在需要時，以及在給定參數值允許的情況下，執行型別轉換。如果類型不符，系統會擲回錯誤。

函式會傳回 JSON 物件的表格。資料表中的每一列都等同於原始查詢結果列的 ROW_TO_JSON() 值。

請參考以下範例，查詢參數化安全檢視：

SELECT * FROM
parameterized_views.execute_parameterized_query(
    query => 'SELECT * FROM secure_checked_items',
    param_names => ARRAY ['app_end_userid'],
    param_values => ARRAY ['40']
)

使用這個 API 時，結果集的大小會受到 API 限制，限制條件包括結果的大小 (以 KB 為單位) 和資料列數量。您可以使用 parameterized_views.json_results_max_size 和 parameterized_views.json_results_max_rows 設定這些限制。

這個 API 會為特定查詢宣告游標，因此有一些限制。因此，查詢必須與 PostgreSQL 指標相容。舉例來說，CURSOR API 不支援 DO 或 SHOW 陳述式。

此外，這項 API 也不會限制結果大小或傳回的資料列數量。

執行 execute_parameterized_query() 函式，語法如下：

SELECT * FROM
parameterized_views.execute_parameterized_query(
    query => SQL_QUERY,
    param_names => ARRAY [PARAMETER_NAMES],
    param_values => ARRAY [PARAMETER_VALUES]
)

更改下列內容：

SQL_QUERY：FROM 子句參照一或多個參數化安全檢視表的 SQL 查詢。
PARAMETER_NAMES：要以字串形式傳遞的參數名稱清單。
PARAMETER_VALUES：要傳入的參數值清單。
這個清單的大小必須與 param_names 清單相同，且值的順序必須與名稱的順序相符。
系統會根據查詢和參數化檢視表定義，推斷值的確切類型。系統會在必要時，以及在給定參數值可行的情況下，執行類型轉換。如果類型不符，系統會擲回錯誤。

這個函式會傳回 JSON 物件資料表。表格中的每一列都相當於原始查詢結果列的 ROW_TO_JSON() 值。

請參考以下範例，查詢參數化安全檢視：

SELECT * FROM
parameterized_views.execute_parameterized_query(
    query => 'SELECT * FROM secure_checked_items',
    param_names => ARRAY ['app_end_userid'],
    param_values => ARRAY ['40']
)

CURSOR API

這個 API 會為特定查詢宣告游標，因此有一些限制。因此，查詢必須與 PostgreSQL 游標相容。舉例來說，CURSOR API 不支援 DO 或 SHOW 陳述式。

此外，這項 API 也不會限制結果大小或傳回的資料列數量。

執行 execute_parameterized_query() 函式，語法如下：

SELECT * FROM
parameterized_views.execute_parameterized_query(
    query => SQL_QUERY,
    param_names => ARRAY [PARAMETER_NAMES],
    param_values => ARRAY [PARAMETER_VALUES]
)

更改下列內容：

SQL_QUERY：FROM 子句參照一或多個參數化安全檢視表的 SQL 查詢。
PARAMETER_NAMES：要以字串形式傳入的參數名稱清單。
PARAMETER_VALUES：要傳遞的參數值清單。
- 這份清單的大小必須與 param_names 清單相同，且值的順序必須與名稱的順序相符。
- 系統會從查詢和參數化檢視定義推斷值的確切類型。系統會在需要時，以及在給定參數值允許的情況下，執行型別轉換。如果類型不符，系統會擲回錯誤。

函式會傳回 JSON 物件的表格。資料表中的每一列都等同於原始查詢結果列的 ROW_TO_JSON() 值。

請參考以下範例，查詢參數化安全檢視：

SELECT * FROM
parameterized_views.execute_parameterized_query(
    query => 'SELECT * FROM secure_checked_items',
    param_names => ARRAY ['app_end_userid'],
    param_values => ARRAY ['40']
)

使用這項 API 時，結果集的大小會受到 API 限制，限制條件包括結果的大小 (以 KB 為單位) 和列數。您可以使用 parameterized_views.json_results_max_size 和 parameterized_views.json_results_max_rows 設定這些限制。

PREPARE 陳述式

使用 PREPARE .. AS RESTRICTED 指令建立參照參數化檢視表的預備陳述式。這些預先準備好的陳述式支援位置參數，並在您執行時強制執行各種限制。詳情請參閱「安全機制」。

這項功能會擴充 PREPARE 和 EXECUTE 指令，支援具名檢視區塊參數。使用預備陳述式，可避免每次執行陳述式時，都要剖析、分析和重寫，進而大幅提升效能，尤其是經常執行或複雜的查詢。預備陳述式是伺服器端物件，可預先編譯及儲存參數化 SQL 陳述式，以便日後執行，進而提升效能。

這個 API 有所限制，因為陳述式必須在 PREPARE 陳述式中允許，這表示僅支援 SELECT 和 VALUES 陳述式。

此外，這個 API 也不會依大小或傳回的資料列數量限制結果。

如要建立參照參數化檢視區塊的預先準備陳述式，請執行 PREPARE .. AS RESTRICTED 指令：

PREPARE pquery (/POSITIONAL_PARAM_TYPES/)
        AS RESTRICTED query % a query that may refer to parameterized views
EXECUTE pquery (/POSITIONAL_PARAM_VALUES/)
      WITH VIEW PARAMETERS (VIEW_PARAM_NAME1 = VIEW_PARAM_VALUE1[, ...]);

更改下列內容：

POSITIONAL_PARAM_TYPES：RESTRICTED 查詢中使用的一或多個位置參數。
POSITIONAL_PARAM_VALUES：實際值，用於替換 PREPARE 陳述式中定義的位置參數。
VIEW_PARAM_NAME：RESTRICTED 查詢中參照的參數化檢視表預期的參數名稱。
VIEW_PARAM_VALUE：實際傳遞至參數化檢視表對應 viewParamName 參數的值。

如要在預先準備好的陳述式中加入參數，請在 PREPARE 陳述式中提供資料型別清單。在您準備的陳述式中，您可以使用 $1 和 $2 等方式，依位置參照參數。

使用 EXECUTE .. WITH VIEW PARAMETERS 指令，執行先前透過 PREPARE .. AS RESTRICTED 指令建立的預備陳述式。如果建立陳述式的 PREPARE 陳述式指定了位置參數，則必須將一組相容的參數傳遞至 EXECUTE 陳述式。您必須在 WITH VIEW PARAMETERS 子句中，傳遞參數化檢視畫面所需的任何具名檢視畫面參數。

請參考以下範例，查詢參數化安全檢視：

PREPARE pquery (timestamp) AS RESTRICTED SELECT * FROM secure_checked_items WHERE timestamp > $1;

EXECUTE pquery (current_date - 1) WITH VIEW PARAMETERS (app_end_userid = 40);
EXECUTE pquery (current_date - 30) WITH VIEW PARAMETERS (app_end_userid = 40);

查詢的強制限制

下列清單列出使用「查詢參數化安全檢視表」所述選項執行查詢時，受限制的操作：

禁止任何 API 的遞迴叫用 (execute_parameterized_query 或使用 EXECUTE .. WITH VIEW PARAMETERS)，因此只會使用應用程式指定的值。這項限制也能防止查詢用於規避特定參數值組合的安全範圍。
系統不允許部分會啟動新背景工作階段的擴充功能，包括 dblink, pg_cron 和 pg_background 擴充功能。
以下列出允許使用的受限制查詢結構：
- 可使用唯讀 SELECT 陳述式。
- 允許唯讀 SHOW 陳述式、CALL 陳述式和 DO 陳述式。
- 不允許使用 INSERT, UPDATE 和 DELETE 等 DML 陳述式。
- 不允許使用 CREATE TABLE 和 ALTER TABLE 等 DDL 陳述式。
- 不允許使用其他陳述式類型，例如 LOAD, SET, CLUSTER, LOCK, CHECKPOINT 和 EXPLAIN。
系統不允許 EXPLAIN 陳述式，以免有人利用查詢計畫發動隱蔽通道攻擊。詳情請參閱「隱蔽通道」。
參數化安全檢視提供設定，可協助您管理 API 用來查詢參數化檢視的資源，例如 parameterized_views.statement_timeout。詳情請參閱「AlloyDB for PostgreSQL 旗標」。

列出所有參數化檢視區塊

使用 parameterized_views 擴充功能，透過 all_parameterized_views 檢視畫面列出資料庫中的所有參數化檢視畫面。這個檢視區塊的輸出內容與 pg_views 目錄檢視區塊相同，但 all_parameterized_views 只會列出含有具名檢視區塊參數的檢視區塊。

如要列出參數化檢視區塊，請使用下列範例：

postgres=# select * from parameterized_views.all_parameterized_views ;
schemaname |      viewname      | viewowner |                       definition
-----------+--------------------+-----------+---------------------------------------------------------
public     | checked_items_view | postgres  |  SELECT checked_items.bag_id,                          +
           |                    |           |     checked_items."timestamp",                         +
           |                    |           |     checked_items.location                             +
           |                    |           |    FROM checked_items                                  +
           |                    |           |   WHERE (checked_items.customer_id = $@app_end_userid);

如要在 all_parameterized_views 中列出參數化檢視區塊，請確認參數化檢視區塊的定義中至少包含一個具名檢視區塊參數。

後續步驟

瞭解參數化安全檢視。
瞭解如何使用參數化安全檢視表，保護及控管應用程式資料的存取權。

使用 AlloyDB Omni 參數化安全檢視管理應用程式資料安全 透過集合功能整理內容 你可以依據偏好儲存及分類內容。

事前準備

建立參數化安全檢視區塊

設定應用程式的安全性

查詢參數化安全檢視區塊

JSON API

CURSOR API

PREPARE 陳述式

查詢的強制限制

列出所有參數化檢視區塊

後續步驟

使用 AlloyDB Omni 參數化安全檢視管理應用程式資料安全