如何为Oracle存储过程授予直接对象权限

Oracle中GRANT EXECUTE必须显式指定schema名，如GRANT EXECUTE ON hr.get_employee_info TO scott；包需整体授权，不能只授包内过程；DEBUG权限仅允许查看源码，不赋予执行权。

GRANT EXECUTE ON 必须带 schema 名

Oracle 不会自动补全 schema，省略 schema 名直接写 GRANT EXECUTE ON proc_name TO user 一定会失败，报 ORA-00942: table or view does not exist。这不是对象不存在，而是解析时找不到该过程——因为没指定 owner。

1. ✅ 正确写法：GRANT EXECUTE ON hr.get_employee_info TO scott
2. ❌ 错误写法：GRANT EXECUTE ON get_employee_info TO scott
3. ⚠️ 大小写敏感：如果过程是用双引号建的（如 "Get_Employee_Info"），授权也必须严格匹配：GRANT EXECUTE ON hr."Get_Employee_Info" TO scott

DEBUG 权限 = 查看源码，不等于执行

想让某用户只看存储过程定义、禁止调用或修改，别给 EXECUTE，改授 DEBUG 权限。这个权限允许 SELECT 系统视图 ALL_SOURCE 或 DBA_SOURCE 中对应过程的源码，但无法 EXEC 或 ALTER。

1. 授予查看权：GRANT DEBUG ON hr.get_employee_info TO report_user
2. 验证方式：report_user 执行 SELECT text FROM all_source WHERE name = 'GET_EMPLOYEE_INFO' AND owner = 'HR' ORDER BY line 能查到内容；但 EXEC hr.get_employee_info 会报 ORA-06550 / PLS-00201
3. 注意：DEBUG 是对象级权限，不是系统权限，不能用 GRANT DEBUG ANY PROCEDURE（该系统权限不存在）

包（PACKAGE）要整体授权，不能只授包体里的某个过程

Oracle 对包的权限控制粒度在 package level，不是 procedure level。即使你只打算让别人调用 pkg.do_something，也必须授整个包的 EXECUTE 权限，否则编译或运行都会失败。

1. ✅ 正确：GRANT EXECUTE ON hr.emp_pkg TO scott
2. ❌ 无效：GRANT EXECUTE ON hr.emp_pkg.do_something TO scott（语法错误，Oracle 不支持）
3. 如果包里有 SQL 查询其他用户的表，被授权用户还需额外获得那些表的 SELECT 权限，否则运行时仍报 ORA-00942

权限生效无需重连，但同义词会绕过原权限检查

授权后当前会话立刻生效，不用 DISCONNECT/CONNECT。但如果你给用户建了私有同义词（比如 CREATE SYNONYM my_proc FOR hr.get_employee_info），那用户执行 EXEC my_proc 时，Oracle 检查的是对同义词所在 schema（即当前用户）的 EXECUTE 权限，而不是对原过程 hr.get_employee_info 的权限。

1. 也就是说：建同义词的用户自己必须有 EXECUTE 权限，否则同义词无法被调用
2. 若想简化调用，建议用公有同义词 + 显式授权：CREATE PUBLIC SYNONYM get_emp FOR hr.get_employee_info，再确保所有目标用户都有 GRANT EXECUTE ON hr.get_employee_info TO ...
3. 公有同义词本身不带权限，它只是别名，底层权限检查照旧

实际操作中最容易漏掉的是 schema 名和包的整体性——这两个点一旦出错，报错信息（比如 PLS-00201）看起来像代码问题，但根源纯属权限配置偏差。