[发明专利]用于数据访问控制实施的基于SQL转换的优化方法和设备

摘要

提供了让数据库服务器识别包括规定数据访问控制策略的访问检查操作符的查询的技术，并且如果有的话，则重写查询，以产生优化的查询执行计划。第一种技术基于与请求查询的数据库主体关联的特权重写包括访问检查操作符的查询。重写的查询向后续的数据库优化过程暴露与发出请求的主体相关的访问谓词。第二种技术重写包括规定不包括被拒绝特权的数据安全性策略的访问检查操作符的查询。第三种技术重写包括规定存储特定于行的访问控制列表的一个或多个数据库表列的访问检查操作符的查询。重写的查询被用来生成提供几种查询执行优化的查询执行计划。

主权项

一种用于查询优化的计算机实现的方法，包括步骤：接收与第一主体关联并且针对存储在数据库的一个或多个表中的数据的查询表达式，其中所述一个或多个表中的至少一个表与数据访问控制策略的一个或多个数据域相关联；其中所述一个或多个数据域中的每个数据域都包括访问谓词和至少一个条目列表，其中所述访问谓词规定所述至少一个条目列表适用于的一个或多个行，并且其中，所述至少一个条目列表的每个条目把一个或多个主体映射到对所述一个或多个主体授予或拒绝的一个或多个特权；重写所述查询表达式以形成第一重写的查询表达式，其中，第一重写的查询表达式包括规定所述一个或多个数据域作为参数的访问检查查询操作符；基于第一主体和所述一个或多个数据域，确定所述一个或多个数据域的一个或多个具体的访问谓词与第一主体关联；及响应于确定所述一个或多个具体的访问谓词与第一主体关联，重写第一重写的查询表达式，以形成第二重写的查询表达式，其中第二重写的查询表达式包括在所述访问检查查询操作符外面的与第一主体关联的所述一个或多个具体的访问谓词；及其中该方法是由一个或多个计算设备执行的。