[发明专利]用于为关系数据库处理数据库语句的方法和系统

说明书

一种用于为关系数据库处理数据库语句的计算机实现的方法。所述数据库包含一个或多个包括一个或多个数据行的表。接收数据库语句。从所述数据库语句中确定谓词集合并从所述表中确定数据行集合以用于生成所述数据库语句结果。获得适用于一个或多个数据行的禁止语句集合。对于每个谓词：获得适用于一个或多个数据行的掩码集合，其中，对于每个掩码，由掩码掩蔽的数据被所述谓词使用。确定数据行是否具有适用的禁止语句，以及是否包含由掩码掩蔽的数据。如果是，则确定所述数据库语句的结果而无需使用将所述谓词应用于所述数据行的结果。

技术领域

本发明涉及为关系数据库处理数据库语句。

背景技术

数据库系统通常使用精细粒度访问控制(FGAC)机制来控制用户对数据的访问。例如，FGAC可以用于限制用户对关系表中的特定行集合的访问。该级别的访问控制对于关系数据访问的所有区域(诸如实用程序)是有利的，而对于诸如SELECT、INSERT、UPDATE和DELETE等数据操纵语言(data manipulation language，DML)SQL语句尤其有利。

在关系数据库系统内实现FGAC的传统方法依赖于视图的使用。例如，诸如Oracle虚拟私有数据库等“虚拟私有数据库”允许在行和/或列级别限定访问。FGAC的其他已知实施方式使用用户会话的上下文属性，通过将谓词添加到查询中来修改SQL查询。

然而，已知的现有技术解决方案并没有解决由于推断而可能出现的安全问题，即，用户可以使用允许其访问的其他信息，推断存储在数据库中的不允许其访问的数据信息的情况。

举个例子来说，假设一个数据库表包含客户信用卡信息，其客户(CUSTOMERS)表具有栏目：姓名(name)、卡号(card_number)、失效日期(exp_date)、起始日期(start_date)，并包含以下行：

作为FGAC机制的一部分，可以定义卡号列的掩码，使得特定用户不能看到该列的整个值。例如，可以将一列掩码定义为XXXX-XXXX-XXXX-####的形式，以使查询为例如：

SELECT name,card_number

FROM CUSTOMERS

WHERE name＝‘Smith,John’

将为应用了掩码的用户返回以下结果：

姓名	卡号
Smith,John	XXXX-XXXX-XXXX-3456

然而，利用该FGAC机制，用户仍然可能通过适当方式利用精心设计的查询来确定该掩蔽的值。例如，对于同一用户的查询为：

SELECT name

FROM CUSTOMERS

WHERE card_number like‘1234-5678-9012-％’

(％为数据库语言中诸如SQL等通配符)将为用户返回以下结果：