Oracle中创建仅能执行指定存储过程的用户需三步：①过程用AUTHID DEFINER定义；②过程所有者直接拥有表权限（非角色授予）；③目标用户仅被直接授予EXECUTE权限，不授任何表权限。
如何创建仅能执行指定存储过程的用户
oracle 里不能直接“只给过程执行权而不给任何表权限”，但可以通过 definer's rights（定义者权限）配合细粒度对象权限实现目标：用户只能调用你授权的几个 procedure，无法查表、建对象、甚至看不到其他过程定义。
关键不是“禁止用户做什么”，而是让过程在拥有权限的 Schema 下运行，用户只需 EXECUTE 权限 —— 这个权限本身不带数据访问能力，真正访问由过程内部完成。
- 过程必须用
CREATE OR REPLACE PROCEDURE ... AUTHID DEFINER（默认即为DEFINER，但显式写出更清晰） - 过程所有者（如
APP_OWNER）需拥有被操作表的SELECT/INSERT/UPDATE等权限（且不能是通过角色获得的，必须是直接授予） - 目标用户（如
APP_USER）只被授予EXECUTE ON APP_OWNER.my_proc，不授任何表权限、不限制资源、不加 profile 限制（除非另有需要）
为什么不能靠角色授予过程执行权限
如果把 EXECUTE 权限通过角色（如 app_exec_role）授予用户，该用户在匿名 PL/SQL 块中调用过程会报 PLS-00201: identifier 'XXX' must be declared 或运行时报 ORA-00942: table or view does not exist —— 因为角色权限在定义者权限过程里**不生效**。
Oracle 在 AUTHID DEFINER 过程中，只认直接授予的权限（direct grants），角色权限会被忽略。这是最常踩的坑。
- ❌ 错误做法：
GRANT EXECUTE ON APP_OWNER.p_check_balance TO app_exec_role;，再GRANT app_exec_role TO app_user; - ✅ 正确做法：
GRANT EXECUTE ON APP_OWNER.p_check_balance TO app_user;（逐个授权，不可省） - 若过程数多，可用脚本生成授权语句，但不能跳过“直接授予”这步
如何防止用户绕过过程直接操作底层表
用户没有表权限，不代表绝对安全 —— 如果过程里拼接了动态 SQL 且接收用户输入，就可能被注入；或者用户有 SELECT ANY TABLE 等高危系统权限（应禁用）。
真正隔离依赖两层控制：
- 确保用户无
SELECT/INSERT/UPDATE/DELETE ANY TABLE、无UNLIMITED TABLESPACE、无CREATE SESSION以外的系统权限（CREATE SESSION是必须的） - 过程内部避免使用
EXECUTE IMMEDIATE处理未过滤的输入；如必须用，用DBMS_ASSERT校验对象名，或改用绑定变量 + 静态 SQL - 可选加固：对敏感表启用 VPD（Virtual Private Database）或 RLS，但这是额外防线，非必需
一个最小可行授权示例
假设 APP_OWNER 已建好过程 p_transfer_funds，操作 accounts 表：
CREATE OR REPLACE PROCEDURE APP_OWNER.p_transfer_funds( p_from_id IN NUMBER, p_to_id IN NUMBER, p_amount IN NUMBER ) AUTHID DEFINER AS BEGIN UPDATE accounts SET balance = balance - p_amount WHERE id = p_from_id; UPDATE accounts SET balance = balance + p_amount WHERE id = p_to_id; COMMIT; END;
然后执行：
GRANT EXECUTE ON APP_OWNER.p_transfer_funds TO app_user;ALTER USER app_user ACCOUNT UNLOCK;- 确认
app_user没有SELECT ANY TABLE：SELECT * FROM DBA_SYS_PRIVS WHERE GRANTEE = 'APP_USER'; - 验证：用
app_user登录，执行BEGIN APP_OWNER.p_transfer_funds(101, 102, 100); END;成功；执行SELECT * FROM APP_OWNER.accounts;报ORA-00942
过程体里的表名写死、权限由 APP_OWNER 直接持有、调用权限直接授予 —— 这三者缺一不可。少一个，要么执行失败，要么权限失控。
