Procedimentos armazenados com direitos do chamador e direitos do proprietário¶

Introdução¶

O procedimento armazenado de direitos do chamador é executado com os privilégios do chamador. A principal vantagem do procedimento armazenado de direitos do chamador é que ele pode acessar informações sobre o chamador ou sobre a sessão atual do chamador. Por exemplo, um procedimento armazenado de direitos do chamador pode ler as variáveis da sessão do chamador e utilizá-las em uma consulta.

Um procedimento armazenado de direitos do proprietário é executado principalmente com os privilégios do proprietário do procedimento armazenado. A principal vantagem do procedimento armazenado de direitos do proprietário é que o proprietário pode delegar tarefas administrativas específicas, como a limpeza de dados antigos, a outra função sem conceder a essa função privilégios mais gerais, como privilégios para excluir todos os dados de uma tabela específica.

No momento em que o procedimento armazenado é criado, o criador especifica se o procedimento é executado com os direitos do proprietário ou com os direitos do chamador. A configuração padrão é direitos do proprietário.

O proprietário pode mudar o procedimento de um procedimento armazenado de direitos do proprietário para um procedimento armazenado de direitos do chamador (ou vice-versa), executando um comando ALTER PROCEDURE.

Privilégios em relação a objetos de banco de dados¶

Um procedimento armazenado de direitos do chamador é executado com os privilégios do banco de dados da função que chamou o procedimento armazenado. Qualquer instrução que o chamador não poderia executar fora do procedimento armazenado também não pode ser executada dentro do procedimento armazenado. Por exemplo, se a função denominada “Nurse” não tiver privilégios para excluir linhas da tabela medical_records, isso significa que se um usuário com a função “Nurse” chamar um procedimento armazenado de direitos do chamador que tenta excluir linhas dessa tabela, o procedimento armazenado falhará.

Um procedimento de direitos do proprietário funciona com os direitos do proprietário do procedimento. Isso significa que se o proprietário tem privilégios para realizar uma tarefa, então o procedimento armazenado pode realizar essa tarefa mesmo quando chamado por uma função que não tem privilégios para realizar essa tarefa diretamente. Por exemplo, se a função denominada “Doctor” tem os privilégios do banco de dados para excluir linhas da tabela medical_records, e a função “Doctor” cria um procedimento armazenado que exclui linhas anteriores a 7 anos daquela tabela, isso significa que se a função “Doctor” concede à função “Nurse” privilégios apropriados no procedimento armazenado, então a função “Nurse” pode executar o procedimento armazenado (e excluir linhas antigas da tabela usando aquele procedimento armazenado), mesmo que a função “Nurse” não tenha privilégios de exclusão na tabela.

Acesso e configuração do estado da sessão¶

Da mesma forma que acontece com outras instruções SQL, uma instrução CALL é executada dentro de uma sessão e herda o contexto dessa sessão, como variáveis em nível de sessão, banco de dados atual etc. O contexto exato que o procedimento herda depende de se o procedimento armazenado é um procedimento armazenado de direitos do chamador ou um procedimento armazenado de direitos do proprietário.

Se um procedimento armazenado de direitos do chamador fizer alterações na sessão, essas alterações podem persistir após o final da CALL. Os procedimentos armazenados de direitos do proprietário não podem alterar o estado da sessão.

Procedimentos armazenados de direitos do chamador¶

Os procedimentos armazenados de direitos do chamador obedecem às seguintes regras dentro de uma sessão:

• São executados com os privilégios do chamador, não com os privilégios do proprietário.

• Herdam o warehouse atual do chamador.

• Utilizam o banco de dados e o esquema que o chamador está usando atualmente.

• Podem ver, definir e remover definição das variáveis de sessão do chamador.

• Podem ver, definir e remover definição dos parâmetros de sessão do chamador.

A seção abaixo fornece mais detalhes sobre como os procedimentos armazenados de direitos do chamador podem ler e escrever as variáveis em nível de sessão do chamador.

CREATE PROCEDURE MyProcedure()
...
$$
   READ SESSION_VAR1;
   SET SESSION_VAR2;
$$
;

SET SESSION_VAR1 = 'some interesting value';
CALL MyProcedure();
SELECT *
  FROM table1
  WHERE column1 = $SESSION_VAR2;

SET SESSION_VAR1 = 'some interesting value';
READ SESSION_VAR1;
SET SESSION_VAR2;
SELECT *
  FROM table1
  WHERE column1 = $SESSION_VAR2;

SET Variable_1 = 49;

CREATE PROCEDURE sv_proc2(PARAMETER_1 FLOAT)
  RETURNS VARCHAR
  LANGUAGE JAVASCRIPT
  AS
  $$
    var rs = snowflake.execute( {sqlText: "SELECT 2 * " + PARAMETER_1} );
    rs.next();
    var MyString = rs.getColumnValue(1);
    return MyString;
  $$
  ;

CALL sv_proc2($Variable_1);

CREATE PROCEDURE sv_proc1()
  RETURNS VARCHAR
  LANGUAGE JAVASCRIPT
  EXECUTE AS CALLER
  AS
  $$
    var rs = snowflake.execute( {sqlText: "SET SESSION_VAR_ZYXW = 51"} );

    var rs = snowflake.execute( {sqlText: "SELECT 2 * $SESSION_VAR_ZYXW"} );
    rs.next();
    var MyString = rs.getColumnValue(1);

    rs = snowflake.execute( {sqlText: "UNSET SESSION_VAR_ZYXW"} );

    return MyString;
  $$
  ;

CALL sv_proc1();

-- This fails because SESSION_VAR_ZYXW is no longer defined.
SELECT $SESSION_VAR_ZYXW;

Procedimentos armazenados de direitos do proprietário¶

Os procedimentos armazenados de direitos do proprietário obedecem às seguintes regras dentro de uma sessão:

• São executados com os privilégios do proprietário, não com os privilégios do chamador.

  Dica

  Se você precisar de um procedimento armazenado de direitos de proprietário para executar ações em uma tabela, exibição ou função que o chamador tenha privilégios para acessar, você pode fazer com que o chamador transmita uma referência a essa tabela, exibição ou função.

  Para obter mais detalhes, consulte Como passar referências de tabelas, exibições, funções e consultas para procedimentos armazenados.

• Herdam o warehouse atual do chamador.

• Utilizam o banco de dados e o esquema nos quais o procedimento armazenado está criado, não o banco de dados e o esquema que o chamador está usando atualmente.

• Não conseguem acessar a maioria das informações específicas do chamador. Por exemplo:

  • Não podem ver, definir ou remover definição das variáveis de sessão do chamador.

  • Não é possível executar SHOW PARAMETERS para listar parâmetros.

  • Pode usar apenas um subconjunto de parâmetros de sessão definidos pelo chamador. Por exemplo, comandos SQL que retornam valores de data de saída podem usar o parâmetro DATE_OUTPUT_FORMAT que é definido para a sessão do chamador).

    Para obter a lista desses parâmetros, consulte Efeitos dos parâmetros de sessão de um chamador sobre um procedimento de direitos do proprietário.

  • Não pode definir ou retirar a definição de qualquer um dos parâmetros de sessão do chamador.

  • Não podem consultar funções de tabela INFORMATION_SCHEMA (por exemplo, AUTOMATIC_CLUSTERING_HISTORY), que retornam resultados com base no usuário atual.

• Não permitem que os não proprietários visualizem informações sobre o procedimento a partir da exibição PROCEDURES.

As restrições em relação às variáveis de sessão e parâmetros de sessão são descritas com mais detalhes abaixo.

SET PROVINCE = 'Manitoba';
CALL MyProcedure($PROVINCE);

Restrições adicionais aos procedimentos armazenados de direitos do proprietário¶

Os procedimentos armazenados de direitos do proprietário têm várias restrições adicionais, além das restrições relacionadas às variáveis e parâmetros de sessão. Essas restrições afetam o seguinte:

• As funções internas que podem ser chamadas de dentro de um procedimento armazenado.

• Capacidade de executar instruções ALTER USER.

• Monitoramento dos procedimentos armazenados no tempo de execução.

• Comandos SHOW e DESCRIBE.

• Os tipos de instruções SQL que podem ser chamadas de dentro de um procedimento armazenado.

As seções seguintes explicam essas restrições com mais detalhes.

Procedimentos armazenados aninhados com direitos diferentes¶

Se um procedimento armazenado de direitos do proprietário é chamado pelo procedimento armazenado de direitos do chamador, ou vice-versa, as seguintes regras se aplicam:

• Um procedimento armazenado comporta-se como um procedimento armazenado de direitos do chamador se, e somente se, o procedimento e toda a hierarquia de chamada acima dele forem procedimentos armazenados de direitos do chamador.

• Um procedimento armazenado de direitos do proprietário sempre se comporta como um procedimento armazenado de direitos do proprietário, não importa de onde ele é chamado.

• Qualquer procedimento armazenado chamado direta ou indiretamente a partir de um procedimento armazenado de direitos do proprietário comporta-se como um procedimento armazenado de direitos do proprietário.

Como escolher entre direitos do proprietário e direitos do chamador¶

Crie um procedimento armazenado como um procedimento armazenado de direitos do proprietário se todos os elementos seguintes forem verdadeiros:

• Você quer delegar uma tarefa a outro usuário que a executará com os privilégios do proprietário, não com os próprios privilégios do chamador.

  Por exemplo, se você quiser que um usuário sem privilégio DELETE para uma tabela possa chamar um procedimento armazenado que exclua dados antigos, mas não dados atuais, então você provavelmente deve usar um procedimento armazenado de direitos de proprietário. Esse procedimento conterá uma instrução DELETE que inclui um filtro (uma cláusula WHERE) para controlar quais dados podem ser excluídos usando o filtro.

  Dica

  Se você precisar de um procedimento armazenado de direitos de proprietário para executar ações em uma tabela, exibição ou função que o chamador tenha privilégios para acessar, você pode fazer com que o chamador transmita uma referência a essa tabela, exibição ou função.

  Para obter mais detalhes, consulte Como passar referências de tabelas, exibições, funções e consultas para procedimentos armazenados.

• As restrições aos procedimentos armazenados de direitos do proprietário não impedirão que o procedimento armazenado funcione corretamente.

Crie um procedimento armazenado como um procedimento armazenado de direitos do chamador se as condições seguintes forem verdadeiras:

• O procedimento armazenado opera somente em objetos de propriedade do chamador ou para os quais o chamador tem os privilégios necessários.

• As restrições aos procedimentos armazenados de direitos do proprietário impediriam o procedimento armazenado de funcionar. Por exemplo, use o procedimento de direitos do chamador se o chamador do procedimento armazenado precisar usar o ambiente desse chamador (por exemplo, variáveis de sessão ou parâmetros de conta).

Se um determinado procedimento puder funcionar corretamente com os direitos do chamador ou do proprietário, então a seguinte regra pode ajudar você a escolher quais direitos usar:

• Se um procedimento for um procedimento de direitos do proprietário, o chamador não tem o privilégio de ver o código no procedimento armazenado (a menos que o chamador também seja o proprietário). Se você quiser impedir que os chamadores vejam o código-fonte do procedimento, então crie o procedimento como um procedimento de direitos do proprietário. Por outro lado, se você quiser que os chamadores possam ler o código-fonte, então crie o procedimento como um procedimento de direitos do chamador.