DBMS_REDACT需先确认Oracle 12c已启用Data Redaction选件（查v$option），再授EXECUTE、REDACT ANY COLUMN等权限，创建策略时expression须为合法PL/SQL布尔表达式，function_type决定脱敏形态且PARTIAL参数格式严格。
dbms_redact 不是开箱即用的功能，必须先确认数据库版本和选项是否支持，再逐层配置权限与策略。oracle 12c 中 data redaction 属于 oracle advanced security 选件，未启用该选项时，调用 dbms_redact.add_policy 会直接报错 ora-44305: “data redaction is not enabled”。
检查 Data Redaction 是否可用
执行前必须以 SYS 用户（且带 AS SYSDBA）身份连接：
查询是否已启用 Data Redaction 功能：
SELECT parameter, value FROM v$option WHERE parameter = 'Data Redaction';
返回 TRUE 才能继续。若为 FALSE，说明数据库实例未安装该选件——此时不能靠 SQL 或脚本启用，需重新链接 Oracle Binary 并重装数据库（或联系 Oracle 支持获取合规 license 和 patch）。
常见误操作：在 Standard Edition 或未购买 Advanced Security 的 EE 环境下强行执行策略，结果只有报错，没有日志、没有警告、不提示替代方案。
授予用户执行脱敏策略所需的权限
DBMS_REDACT 包本身受严格权限控制，不是拥有 DBA 角色就自动能用。
必须显式授予以下权限（仍以 SYS 身份执行）：
-
EXECUTE权限给DBMS_REDACT包本身 -
REDACT ANY COLUMN系统权限（用于跨 schema 创建策略） - 若策略目标表不在当前用户 schema 下，还需
SELECT权限（或SELECT ANY TABLE）
示例（授予用户 ZHANGXG）：
BEGIN EXECUTE IMMEDIATE 'GRANT EXECUTE ON DBMS_REDACT TO ZHANGXG'; EXECUTE IMMEDIATE 'GRANT REDACT ANY COLUMN TO ZHANGXG'; EXECUTE IMMEDIATE 'GRANT SELECT ON U1.TAB1 TO ZHANGXG'; END; /
注意：REDACT ANY COLUMN 是高危权限，不应泛授；生产环境建议用 role 封装后按需分配。
创建脱敏策略时 expression 参数必须可求值为布尔值
expression 参数不是 SQL WHERE 条件，而是运行时由 Oracle 内核解析的 PL/SQL 布尔表达式，不能含子查询、绑定变量、函数调用（除少数内置如 SYS_CONTEXT）。
错误写法（会报 ORA-44307）：
expression => 'USER = ''NOSEE''' -- 错：字符串字面量不构成布尔表达式
正确写法：
expression => 'SYS_CONTEXT(''USERENV'', ''SESSION_USER'') = ''NOSEE'''常用合法 expression 场景：
-
'1=1'：对所有会话生效（全脱敏） -
'SYS_CONTEXT(''USERENV'', ''SESSION_USER'') != ''ZHENGXG'''：除指定用户外都脱敏 -
'SYS_CONTEXT(''USERENV'', ''CLIENT_IDENTIFIER'') IS NULL'：仅对未设置 client_id 的连接脱敏
脱敏策略一旦创建，对符合条件的查询实时生效，无需重启、无需刷新缓存，但 expression 修改后需调用 DBMS_REDACT.ALTER_POLICY 才会更新。
多列脱敏与 FULL / PARTIAL 类型的实际差异
function_type 决定脱敏形态，不同数据类型行为不一致，容易踩坑：
字符型字段用 DBMS_REDACT.FULL → 返回空字符串（不是 NULL，也不是星号）
数值型字段用 DBMS_REDACT.FULL → 返回 0
日期型字段用 DBMS_REDACT.FULL → 返回 DATE '0001-01-01'
若要显示部分掩码（如手机号只显后4位），必须用 DBMS_REDACT.PARTIAL 并配 function_parameters，例如：
function_parameters => 'VVVVV_VVV_VVVV,VVVVV_VVV_VVVV,*,1,4'
这个参数顺序固定、不可省略、大小写敏感——少一个逗号或位置错一位，策略创建就静默失败（无报错，但不起效）。
真正难调试的点在于：脱敏效果只在查询结果中体现，DESC、SELECT * FROM USER_REDACTION_POLICIES 都不反映实际掩码样式，必须用非策略用户真实查一遍才能验证。
