AUTHID DEFINER 存储过程权限不足的根本原因是其禁用角色权限，仅认定义者用户被直接授予的对象权限和系统权限；需按过程实际访问的对象和操作类型，最小化直授相应权限。
authid definer 是 oracle 存储过程的默认权限模型，但它不会自动继承角色权限——必须显式授予定义者用户所需的对象权限和系统权限，否则运行时必然报错。
为什么 AUTHID DEFINER 存储过程总提示“权限不足”
因为 Oracle 在 AUTHID DEFINER 模式下会禁用所有角色（如 DBA、SELECT_CATALOG_ROLE），只认直接授予该用户（即存储过程所有者）的权限。哪怕定义者用户登录时能查 dba_objects，一旦封装进 AUTHID DEFINER 过程里，就只能靠 GRANT SELECT ON dba_objects TO owner_user 这类直授权限。
- 常见错误现象：
ORA-00942: table or view does not exist（查dba_*视图时）、ORA-01031: insufficient privileges（执行CREATE TABLE或ALTER SYSTEM时） - 动态 SQL 不豁免规则：即使写
EXECUTE IMMEDIATE 'SELECT COUNT(*) FROM dba_objects'，仍需定义者有SELECT ANY DICTIONARY或直授SELECT ON dba_objects - 系统权限也需直授：比如过程里含
CREATE TABLE，不能依赖DBA角色，必须GRANT CREATE TABLE TO owner_user
给定义者用户授哪些权限才够用
取决于过程体里实际访问的对象和操作类型，不是“越多越好”，而是“按需最小化直授”。重点检查过程代码中出现的：
- 所有显式引用的表/视图/序列：例如用了
hr.employees，就得GRANT SELECT ON hr.employees TO owner_user - 所有数据字典视图：如
dba_objects、all_tab_columns，优先用GRANT SELECT_CATALOG_ROLE TO owner_user（该角色本身可被直授），或拆解为单个GRANT SELECT ON sys.dba_objects TO owner_user - DDL 操作对应系统权限：如含
CREATE INDEX，必须GRANT CREATE ANY INDEX TO owner_user；若限定在某 schema，用CREATE INDEX+GRANT UNLIMITED TABLESPACE ON owner_user配合表空间配额 - 避免授
SELECT ANY TABLE这类宽泛权限，它绕过行级安全且难审计
如何验证定义者是否已获足够权限
不能只看当前用户登录后能否执行某语句，要模拟定义者身份做最小闭环验证：
- 用定义者用户登录：
CONNECT owner_user/password@db - 手动执行过程体中最关键的一条语句（去掉变量、异常块等干扰），例如：
SELECT COUNT(*) FROM dba_objects; - 如果这一步失败，说明缺权限；成功了再包进过程重试
- 注意：不要用
SET ROLE NONE测试——AUTHID DEFINER本质就是永久关闭角色，SET ROLE对它无效
authid definer 下 current_schema 的影响被高估了
CURRENT_SCHEMA 只影响未加 schema 前缀的**未解析对象名**（比如裸写 SELECT * FROM employees），但对 AUTHID DEFINER 过程完全无作用：所有对象引用都在编译期绑定到定义者 schema，运行时不会切换解析上下文。
- 例如：在
HR用户下创建AUTHID DEFINER过程，里面写INSERT INTO departments ...，永远操作HR.departments，无论调用者执行ALTER SESSION SET CURRENT_SCHEMA = OE后再调用 - 想让同一段代码操作不同 schema 的同名表？必须用
AUTHID CURRENT_USER+ 动态 SQL，或显式传入 schema 名拼接EXECUTE IMMEDIATE 'INSERT INTO ' || p_schema || '.departments ...' - 所以别指望靠
CURRENT_SCHEMA绕过权限配置——它不改变AUTHID DEFINER的权限边界
最易被忽略的点是：即使你把所有权限都给了定义者用户，只要过程里有一处引用了调用者 schema 下的对象（比如 scott.emp），而定义者没被授予对该对象的权限，运行时照样失败——AUTHID DEFINER 不会自动“跨 schema 授权”，它只忠于定义者自己的权限集。
