如何为Oracle存储过程授予直接对象权限
作者：袖梨
2026-08-22
Oracle中GRANT EXECUTE必须显式指定schema名，如GRANT EXECUTE ON hr.get_employee_info TO scott；包需整体授权，不能只授包内过程；DEBUG权限仅允许查看源码，不赋予执行权。
GRANT EXECUTE ON 必须带 schema 名
Oracle 不会自动补全 schema，省略 schema 名直接写 GRANT EXECUTE ON proc_name TO user 一定会失败，报 ORA-00942: table or view does not exist。这不是对象不存在，而是解析时找不到该过程——因为没指定 owner。
- ✅ 正确写法：
GRANT EXECUTE ON hr.get_employee_info TO scott - ❌ 错误写法：
GRANT EXECUTE ON get_employee_info TO scott - ⚠️ 大小写敏感：如果过程是用双引号建的（如
"Get_Employee_Info"），授权也必须严格匹配：GRANT EXECUTE ON hr."Get_Employee_Info" TO scott
DEBUG 权限 = 查看源码，不等于执行
想让某用户只看存储过程定义、禁止调用或修改，别给 EXECUTE，改授 DEBUG 权限。这个权限允许 SELECT 系统视图 ALL_SOURCE 或 DBA_SOURCE 中对应过程的源码，但无法 EXEC 或 ALTER。
- 授予查看权：
GRANT DEBUG ON hr.get_employee_info TO report_user - 验证方式：report_user 执行
SELECT text FROM all_source WHERE name = 'GET_EMPLOYEE_INFO' AND owner = 'HR' ORDER BY line能查到内容；但EXEC hr.get_employee_info会报ORA-06550 / PLS-00201 - 注意：
DEBUG是对象级权限，不是系统权限，不能用GRANT DEBUG ANY PROCEDURE（该系统权限不存在）
包（PACKAGE）要整体授权，不能只授包体里的某个过程
Oracle 对包的权限控制粒度在 package level，不是 procedure level。即使你只打算让别人调用 pkg.do_something，也必须授整个包的 EXECUTE 权限，否则编译或运行都会失败。
- ✅ 正确：
GRANT EXECUTE ON hr.emp_pkg TO scott - ❌ 无效：
GRANT EXECUTE ON hr.emp_pkg.do_something TO scott（语法错误，Oracle 不支持） - 如果包里有 SQL 查询其他用户的表，被授权用户还需额外获得那些表的
SELECT权限，否则运行时仍报ORA-00942
权限生效无需重连，但同义词会绕过原权限检查
授权后当前会话立刻生效，不用 DISCONNECT/CONNECT。但如果你给用户建了私有同义词（比如 CREATE SYNONYM my_proc FOR hr.get_employee_info），那用户执行 EXEC my_proc 时，Oracle 检查的是对同义词所在 schema（即当前用户）的 EXECUTE 权限，而不是对原过程 hr.get_employee_info 的权限。
- 也就是说：建同义词的用户自己必须有
EXECUTE权限，否则同义词无法被调用 - 若想简化调用，建议用公有同义词 + 显式授权：
CREATE PUBLIC SYNONYM get_emp FOR hr.get_employee_info，再确保所有目标用户都有GRANT EXECUTE ON hr.get_employee_info TO ... - 公有同义词本身不带权限，它只是别名，底层权限检查照旧
PLS-00201）看起来像代码问题，但根源纯属权限配置偏差。 
