Оператор set session authorization

Для изменения текущего идентификатора пользователя SQL-сессии может использоваться оператор

SET SESSION AUTHORIZATION value_specification

174 Кстати, это один из тех случаев, когда иметь право не означает автоматически иметь возможность реализации своего права. SQL допускает, например, наличие привилегии INSERT для представления, к которому операция INSERT не применима.

Как указывалось в лекции 17, value_specificationможет быть либо литералом (в данном случае литералом типа символьных строк), либо вызовомниладическойфункции, такой, какCURRENT_USER,SESSION_USERи т. д. Если указанная спецификация значения не соответствует требованиям, предъявляемым в реализации к представлению идентификатора пользователя, операция изменения текущего идентификатора пользователя аварийно завершается.

В стандарте также говорится, что если спецификация значения, заданная в операции, формально соответствует требованиям, предъявляемым к формату идентификатора пользователя конкретной системы, но в действительности не представляет известный системеидентификатор пользователя, то опять же фиксируется ошибка, и операция не выполняется. Допускается, чтобы в реализации принималось решение о смене идентификатора пользователя сессии одновременно с регистрацией нового идентификатора пользователя. Ограничения на регистрацию таким способом нового пользователя тоже определяются на уровне реализации. После успешного выполнения оператораSET SESSION AUTHORIZATIONтекущее имя роли соответствующей сессии принимает значениеNULL, так что текущимauthIDэтой сессии становится заданное значение идентификатора пользователя.

Опять по необходимости забегая вперед, заметим, что операцию смены текущего идентификатора пользователя SQL-сессии не разрешается выполнять внутри какой-либо транзакции этой сессии. Иначе терялся бы смысл привилегий доступа, которыми руководствуется система при выполнении операций внутри транзакции.

Оператор set role

Для смены текущего имени роли SQL-сессии можно использовать оператор

SET ROLE { value_specification | NONE }

Ограничения на выполнение операции SET ROLEпочти совпадают с определенными в стандарте ограничениями на выполнение операцииSET SESSION AUTHORIZATION. Наиболее важные отличия состоят в том, что эту операцию от имени текущегоauthIDсессии всегда разрешается выполнять для ролей, которые переданы «пользователю»PUBLICили данному текущемуauthID, а также в том, что всегда разрешается применение конструкцииSET ROLE NONE. Выполнение последней конструкции приводит к тому, что значение текущего имени роли сессии становится неопределенным.

Заметим, что при смене текущего имени роли SQL-сессии значение текущего пользовательского идентификатора сессии не меняется, так что вполне вероятно, что после выполнения операции и текущий идентификатор, и текущее имя роли будут иметь значения, отличные от неопределенного значения. И конечно, операцияSET ROLE NONEбудет выполнена успешно только в том случае, когда значение текущего пользовательского идентификатора не является неопределенным¹⁷⁵⁾.